2021年5月の.NETラボの発表で使用した資料です。 デモで使用したソースコードは👇です https://github.com/Takas0522/dotnetlab-2021-may

1. Azure ADアプリケーションを使用した認証のあれやこれ
ASP.NET Core編
2021.05 .NETラボ

2. 誰？
Takas(@DevTakas)
Angular / Azure / .NET Core / Azure DevOps / Microsoft Graph
Microsoft MVP Office Development

3. 誰？
ブログやってます
http://takasdev.hatenablog.com/
「はまったりひらめいたり…とか…」

4. おしながき
1. Azure ADアプリケーションを使用した認証について
2. 認証の種類と使い分け
3. 認証フローを助けてくれるライブラリ
4. Demo & Tips
5. まとめ

5. 1. Azure ADアプリケーションを使用した認証について
- Azure ADアプリケーションとは
• Azure ADアプリケーションを介してID認証を行うことが可能
• M365ログイン時のユーザーID/パスワード/2FAで認証可能
• ユーザー管理や認証設計の多くが不要になるのが個人的には嬉しい
• 認証にはApplicationID/TenantID/Scopeを使用して認証を行う
• Secretも使用することはある
• 現在v1/v2エンドポイントが提供されている
• v1は非推奨となっている
• jsで認証を行う話はM365VMで話したので今回はASP.NETCore

6. 1. Azure ADアプリケーションを使用した認証について
- バージョンの違い
• v1はAzure Active Directoryベース
• 組織アカウントのみのサポート
• 認証に使用するライブラリはADALと呼ばれる
• v2はMicrosoft IDプラットフォームベース
• 組織/個人/B2Cアカウントをサポートしている
• 認証に使用するライブラリはMSALと呼ばれる

7. 保護されたアプリケーション
保護されたアプリケーション
1. Azure ADアプリケーションを使用した認証について
- API Permission
Azure AD
アプリケーション
Graphリソース
他Azure AD
アプリケーション
アクセス許可
①

8. 保護されたアプリケーション
保護されたアプリケーション
1. Azure ADアプリケーションを使用した認証について
- API Permission
Azure AD
アプリケーション
Graphリソース
他Azure AD
アプリケーション
トークン要求
②

9. 保護されたアプリケーション
保護されたアプリケーション
1. Azure ADアプリケーションを使用した認証について
- API Permission
Azure AD
アプリケーション
Graphリソース
他Azure AD
アプリケーション
保護アプリにアクセス可能に
③

10. 2.認証の種類と使い分け
-OAuth/Open ID Connectのフロー
• M365のユーザーID/PASSを使用し保護リソースにアクセスする際に
• アプリ使用ユーザーがM365のログインをする必要がある
• 逆にいうとシークレットなどは不要。基本Client Idのみで良い。
• ユーザーに紐づく情報の取得を行いたい場合はこれを使う
• Graphの強力な権限をこれで取得するのはおすすめできない

11. 2.認証の種類と使い分け
-OAuth/Open ID Connectのフロー

12. 2.認証の種類と使い分け
-資格情報のフロー
• ユーザーID/パスワード入力を介さない認証
• Azure AD で発行したシークレットを使用する
• どちらかというとWebAPI(バックエンド)で認証が必要な際に使用
• 「アプリケーションのアクセス許可」扱い
• 比較的強力な権限が必要な場合にこれを使うことが多い
• AD内のメールやイベント情報の全閲覧権限など…

13. 2.認証の種類と使い分け
-資格情報のフロー
https://docs.microsoft.com/ja-jp/azure/active-directory/develop/v2-oauth2-client-creds-grant-flow

14. 2.認証の種類と使い分け
-On-Behalf-Of
• WebAPIから別のWebAPIを呼び出すような時に使用する
• WebAPIアクセス時のアクセストークン情報を引き回したい時に使用
• 例えば保護されたWebAPIでアクセスユーザーのGraphにアクセスしたいときなど
• アクセス元のAzureADで再認証が行われるためシークレットが必要となる
https://docs.microsoft.com/ja-jp/azure/active-directory/develop/v2-oauth2-on-behalf-of-flow

15. 3.認証フローを助けてくれるライブラリ
-なぜライブラリが必要なのか
• 先の説明の通り認証のフローはややこしい
• これに加えてセキュリティ標準を満たすための様々なルールが存在
• stateとかPKCEのchalengeとか…
• リダイレクトなど含むので素でやろうとすると処理が複雑になる
• ライブラリはそれらの要件を満たす処理をよしなにしてくれる

16. 3. ASP.NETの保護を助けてくれるライブラリ
-Microsoft.AspNetCore.Authentication.AzureAD.UI
• 一昔まえのWebAPIのAzureAD保護ライブラリ
• V1エンドポイントで保護する場合はこれ？
• 昨今あまり使わない。
• ただVisualStudioのテンプレートはいまだにこっちみたい…

17. 3. ASP.NETの保護を助けてくれるライブラリ
-Microsoft.Identity.Web
• Microsoftから提供されるASP.NET Coreライブラリ
• MicrosoftIDプラットフォームと統合されるWebアプリ/WebAPIの
認証/承認サポートを簡略化してくれる
• 「MicrosoftIDプラットフォーム」からわかる通りv2エンドポイント想定
• WebAPIの保護をこれを使用して行う事が可能
• dotnetコマンドでプロジェクトテンプレートを使用することが可能

18. 3. ASP.NETの保護を助けてくれるライブラリ
-Microsoft.Identity.Web
• サポートされるアプリケーションの種類
• WebAPI
• MVC WebApp
• Razor WebApp
• Blazor Server
• Blazor WebAssembly

19. 3.認証フローを助けてくれるライブラリ
-Microsoft.Identity.Client
• MSALにあたる。
• ユーザー認証やシークレットを使用した認証を利用してアクセストークンを取得したい場合に使用
• ユーザー認証を伴うもの：PublicClientApplicationBuilder
• シークレット認証を伴うもの：ConfidentialClientApplicationBuilder

20. 4.Demo&Tips
-アプリケーションからGraph/WebAPIデータにアクセスする
Front
Console
Application
MS Graph
Original
Web API
AD App1
AD App2
User.read
データ取得
ユーザー認証

21. 4.Demo&Tips
-AzureFunctionsからGraph/WebAPIデータにアクセスする
Functions
MS Graph
Original
Web API
AD App1
AD App2
User.read
データ取得
Secret認証

22. 4.Demo&Tips
-OBHFでGraph/WebAPIデータにアクセスする
Original
Web API1
MS Graph
Original
Web API2
AD App1
AD App2
User.read
データ取得
ユーザー認証
Front
Console
Application

23. まとめ
• ASP.NET CoreのアプリケーションはMicrosoft ID プラット
フォームで保護できる
• Microsoft IDプラットフォームでASP.NETアプリを
保護したい場合はMicrosoft.Identity.Webが鉄板
• .NETでMicrosoft IDプラットフォームを利用した
認証を行いたい場合はMicrosoft.Identity.Client
• .NETでも気軽に認証と承認、保護が行えるので活用しよう

24. 参考ページ
• Microsoft Identity Web 認証ライブラリ
• https://docs.microsoft.com/ja-jp/azure/active-directory/develop/microsoft-identity-web
• AzureAD/microsoft-identity-web
• https://github.com/AzureAD/microsoft-identity-web/wiki
• Microsoft ID プラットフォームと OAuth 2.0 認証コード フロー
• https://docs.microsoft.com/ja-jp/azure/active-directory/develop/v2-oauth2-auth-code-flow
• Microsoft ID プラットフォームと OAuth 2.0 クライアント資格情報フロー
• https://docs.microsoft.com/ja-jp/azure/active-directory/develop/v2-oauth2-client-creds-grant-flow
• Microsoft ID プラットフォームと OAuth2.0 On-Behalf-Of フロー
• https://docs.microsoft.com/ja-jp/azure/active-directory/develop/v2-oauth2-on-behalf-of-flow