Gerenciar tokens OAuth no Serviço de Aplicativo do Azure

Este artigo mostra como gerenciar tokens OAuth para autenticação e autorização internas no Serviço de Aplicativo do Azure.

Recuperar tokens no código do aplicativo

O Serviço de Aplicativo do Azure injeta tokens específicos do provedor no cabeçalho da solicitação para que você possa acessá-los facilmente. Para obter os tokens específicos do provedor, o repositório de tokens deve estar habilitado para o aplicativo.

Do seu código do cliente (por exemplo, um aplicativo móvel ou JavaScript no navegador), envie uma solicitação HTTP GET para /.auth/me. O JSON retornado tem os tokens específicos do provedor.

A tabela a seguir lista os nomes de cabeçalho do token OAuth para vários provedores internos do Serviço de Aplicativo:

Atualizar tokens de autenticação

As informações a seguir referem-se a tokens de provedor. Para tokens de sessão, consulte Estender o período de carência de expiração do token de sessão.

Se o token de acesso do provedor expirar, você deverá reautenticar o usuário antes de poder usar esse token novamente. Você pode evitar a expiração do token fazendo uma GET chamada para o /.auth/refresh ponto de extremidade de seu aplicativo.

Para atualizar o seu token de acesso a qualquer momento, chame /.auth/refresh usando qualquer linguagem de programação. O snippet a seguir usa o jQuery para atualizar seus tokens de acesso de um cliente JavaScript.

function refreshTokens() {
  let refreshUrl = "/.auth/refresh";
  $.ajax(refreshUrl) .done(function() {
    console.log("Token refresh completed successfully.");
  }) .fail(function() {
    console.log("Token refresh failed. See application logs for details.");
  });
}

Quando chamado, o Serviço de Aplicativo atualiza automaticamente tokens de acesso no repositório de token para o usuário autenticado. As solicitações subsequentes de tokens obtêm os tokens atualizados. Você pode ver os tokens de atualização e o tempo de expiração dos tokens usando os cabeçalhos listados em Recuperar tokens no código do aplicativo.

Configurar provedores para fornecer tokens de atualização

Para que a atualização de token funcione, o repositório de tokens deve conter tokens de atualização do seu provedor. Cada provedor documenta como obter seus tokens de atualização. A tabela a seguir fornece um breve resumo:

Configurar o provedor do Microsoft Entra para fornecer tokens de atualização

1. No portal do Azure, acesse o Playground da API (versão prévia) e selecione Nova solicitação , se necessário.
2. No caminho relativo Enter ARM aqui, incluindo o campo de versão da API, insira a seguinte cadeia de caracteres, substituindo os espaços reservados pela ID da assinatura, pelo nome do grupo de recursos e pelo nome do aplicativo:
   subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Web/sites/<app-name>/config/authsettingsV2?api-version=2024-11-01
3. Selecione Executar.
4. Selecione PUT no canto superior esquerdo e selecione a guia Corpo da solicitação .
5. Copie o GET conteúdo da resposta do campo Corpo da resposta e cole-os na guia Corpo da solicitação .
6. No código, localize a "identityProviders":>>"azureActiveDirectory":"login": seção e adicione a seguinte linha:
   "loginParameters": ["scope=openid profile email offline_access"]
7. Selecione Executar. O campo Corpo da resposta mostra suas alterações.

Offline_access é o escopo que fornece tokens de atualização. O Serviço de Aplicativo já solicita os outros escopos por padrão. Para obter mais informações, consulte Escopos do OpenID Connect e Aplicativos Web – Atualizar Configurações de Autenticação V2.

Estender o período de cortesia de término do token da sessão

A sessão autenticada expira após 8 horas e um período de carência padrão de 72 horas segue. Nesse período de carência, você pode atualizar o token de sessão com o Serviço de Aplicativo sem autenticar novamente o usuário. Você pode simplesmente chamar /.auth/refresh quando o token de sessão se torna inválido e você não precisa acompanhar a expiração do token por conta própria.

Quando o período de carência de 72 horas expirar, o usuário deverá entrar novamente para obter um token de sessão válido. Se você precisar de uma janela de expiração maior que 72 horas, poderá estendê-la, mas estender a expiração por um longo período poderá ter implicações significativas de segurança se um token de autenticação for vazado ou roubado. É melhor deixar a configuração no padrão de 72 horas ou definir o período de extensão como o menor valor possível.

Para estender a janela de expiração padrão, execute o seguinte comando da CLI do Azure no Azure Cloud Shell:

az webapp auth update --resource-group <group_name> --name <app_name> --token-refresh-extension-hours <hours>

Conteúdo relacionado

• Tutorial: Autenticar e autorizar usuários de ponta a ponta