autenticação do Microsoft Entra

Você pode autenticar solicitações HTTP usando o Bearer esquema de autenticação com um token adquirido da ID do Microsoft Entra. Você deve transmitir essas solicitações pelo TLS (Transport Layer Security).

Pré-requisitos

Você deve atribuir a entidade de segurança usada para solicitar um token do Microsoft Entra a uma das funções de Configuração de Aplicativo do Azure aplicáveis.

Forneça a cada solicitação todos os cabeçalhos HTTP necessários para autenticação. Este é o requisito mínimo:

Example:

Host: {myconfig}.azconfig.io
Authorization: Bearer {{AadToken}}

Aquisição de token do Microsoft Entra

Antes de adquirir um token do Microsoft Entra, você deve identificar o usuário que deseja autenticar como, para qual público você está solicitando o token e para qual ponto de extremidade do Microsoft Entra (autoridade) usar.

Público

Solicite o token do Microsoft Entra com um público-alvo adequado. O público-alvo também pode ser chamado de recurso para o qual o token está sendo solicitado.

Para obter detalhes sobre qual público-alvo usar para qual nuvem, consulte a seção de audiência da visão geral do acesso à ID do Entra.

Autoridade do Microsoft Entra

A autoridade do Microsoft Entra é o ponto de extremidade que você usa para adquirir um token do Microsoft Entra. Para a nuvem global do Azure, ela está na forma de https://login.microsoftonline.com/{tenantId}. O {tenantId} segmento refere-se à ID de locatário do Microsoft Entra à qual o usuário ou aplicativo que está tentando autenticar pertence.

As nuvens nacionais do Azure têm diferentes pontos de extremidade de autenticação do Microsoft Entra. Consulte os pontos de extremidade de autenticação do Microsoft Entra para os quais os pontos de extremidade a serem usados nas nuvens nacionais.

Bibliotecas de autenticação

A MSAL (Biblioteca de Autenticação da Microsoft) ajuda a simplificar o processo de aquisição de um token do Microsoft Entra. O Azure cria essas bibliotecas para vários idiomas. Para obter mais informações, consulte a documentação.

Errors

Você pode encontrar os seguintes erros.

HTTP/1.1 401 Unauthorized
WWW-Authenticate: HMAC-SHA256, Bearer

Razão: Você não forneceu o cabeçalho de solicitação de autorização com o Bearer esquema.

Solução: Forneça um cabeçalho de solicitação HTTP válido Authorization .

HTTP/1.1 401 Unauthorized
WWW-Authenticate: HMAC-SHA256, Bearer error="invalid_token", error_description="Authorization token failed validation"

Razão: O token do Microsoft Entra não é válido.

Solução: Adquira um token do Microsoft Entra da autoridade do Microsoft Entra e verifique se você usou o público-alvo adequado.

HTTP/1.1 401 Unauthorized
WWW-Authenticate: HMAC-SHA256, Bearer error="invalid_token", error_description="The access token is from the wrong issuer. It must match the AD tenant associated with the subscription to which the configuration store belongs. If you just transferred your subscription and see this error message, please try back later."

Razão: O token do Microsoft Entra não é válido.

Solução: Adquira um token do Microsoft Entra da autoridade do Microsoft Entra. Verifique se o locatário do Microsoft Entra é aquele associado à assinatura à qual o repositório de configuração pertence. Esse erro poderá aparecer se a entidade de segurança pertencer a mais de um locatário do Microsoft Entra.