Résoudre les problèmes liés à votre API de fournisseur de revendications personnalisées

1. À des fins de développement et de test locaux, ouvrez local.settings.json et remplacez le code par le code JSON suivant :

   {
     "IsEncrypted": false,
     "Values": {
       "AzureWebJobsStorage": "",
       "AzureWebJobsSecretStorageType": "files",
       "FUNCTIONS_WORKER_RUNTIME": "dotnet",
       "AuthenticationEvents__BypassTokenValidation" : false
     }
   }
   

   Remarque

   Si vous avez utilisé le package NuGet Microsoft.Azure.WebJobs.Extensions.AuthenticationEvents, veillez à définir "AuthenticationEvents__BypassTokenValidation" : true à des fins de test locaux.

2. À l’aide de votre outil de test d’API préféré, créez une requête HTTP et définissez la méthode HTTP sur POST.

3. Collez l’instance JSON suivante, qui imite la requête envoyée par Microsoft Entra ID à votre API REST.

   {
       "type": "microsoft.graph.authenticationEvent.tokenIssuanceStart",
       "source": "/tenants/aaaabbbb-0000-cccc-1111-dddd2222eeee/applications/00001111-aaaa-2222-bbbb-3333cccc4444",
       "data": {
           "@odata.type": "microsoft.graph.onTokenIssuanceStartCalloutData",
           "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
           "authenticationEventListenerId": "11112222-bbbb-3333-cccc-4444dddd5555",
           "customAuthenticationExtensionId": "22223333-cccc-4444-dddd-5555eeee6666",
           "authenticationContext": {
               "correlationId": "aaaa0000-bb11-2222-33cc-444444dddddd",
               "client": {
                   "ip": "127.0.0.1",
                   "locale": "en-us",
                   "market": "en-us"
               },
               "protocol": "OAUTH2.0",
               "clientServicePrincipal": {
                   "id": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
                   "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
                   "appDisplayName": "My Test application",
                   "displayName": "My Test application"
               },
               "resourceServicePrincipal": {
                   "id": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
                   "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
                   "appDisplayName": "My Test application",
                   "displayName": "My Test application"
               },
               "user": {
                   "companyName": "Casey Jensen",
                   "createdDateTime": "2023-08-16T00:00:00Z",
                   "displayName": "Casey Jensen",
                   "givenName": "Casey",
                   "id": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",
                   "mail": "casey@contoso.com",
                   "onPremisesSamAccountName": "Casey Jensen",
                   "onPremisesSecurityIdentifier": "<Enter Security Identifier>",
                   "onPremisesUserPrincipalName": "Casey Jensen",
                   "preferredLanguage": "en-us",
                   "surname": "Jensen",
                   "userPrincipalName": "casey@contoso.com",
                   "userType": "Member"
               }
           }
       }
   }
   

   Conseil

   Si vous utilisez un jeton d’accès obtenu à partir de Microsoft Entra ID, sélectionnez Authorization (Autorisation), puis Bearer token (Jeton du porteur). Collez ensuite le jeton d’accès que vous avez reçu de la part de Microsoft Entra ID.

4. Sélectionnez Send (Envoyer), et vous devez recevoir une réponse JSON similaire à ce qui suit :

   {
       "data": {
           "@odata.type": "microsoft.graph.onTokenIssuanceStartResponseData",
           "actions": [
               {
                   "@odata.type": "microsoft.graph.tokenIssuanceStart.provideClaimsForToken",
                   "claims": {
                       "customClaim1": "customClaimValue1",
                       "customClaim2": [
                           "customClaimString1",
                           "customClaimString2" 
                       ]
                   }
               }
   
           ]
       }
   }
   

Une fois le jeton d’accès obtenu, passez-lui l’en-tête HTTP Authorization. Pour obtenir un jeton d’accès, procédez comme suit :

1. Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.

2. Accédez à Identité>Applications>Inscriptions d’applications.

3. Sélectionnez l’inscription de l’application API d’événements d’authentification Azure Functions, précédemment configurée dans Configurer un fournisseur de revendications personnalisé pour un événement d’émission de jeton.

4. Copiez l’ID de l’application.

5. Si vous n’avez pas créé de secret d’application, procédez comme suit :

   1. Sélectionnez Certificats et secrets>Clés secrètes client>Nouvelle clé secrète client.
   2. Ajoutez une description pour votre clé secrète client.
   3. Sélectionnez un délai d’expiration pour le secret ou spécifiez une durée de vie personnalisée.
   4. Sélectionnez Ajouter.
   5. Enregistrez la valeur du secret en prévision d’une utilisation dans le code de votre application cliente. Cette valeur secrète ne sera plus jamais affichée lorsque vous aurez quitté cette page.

6. Dans le menu, sélectionnez Exposer une API et copiez la valeur de l’URI associé à l’ID d’application. Par exemple : api://contoso.azurewebsites.net/00001111-aaaa-2222-bbbb-3333cccc4444.

7. Ouvrez votre outil de test d’API préféré, puis créez une requête HTTP.

8. Modifiez la méthode HTTP en lui attribuant la valeur POST.

9. Entrez l’URL suivante. Remplacez {tenantID} par votre ID de locataire.

   https://login.microsoftonline.com/{tenantID}/oauth2/v2.0/token
   

10. Dans la section Corps, sélectionnez form-data et ajoutez les clés suivantes :

    Clé	Valeur
    grant_type	client_credentials
    client_id	ID client de votre application
    client_secret	Clé secrète client de votre application
    scope	URI de l’ID de votre application, suivi de .default Par exemple, api://contoso.azurewebsites.net/00001111-aaaa-2222-bbbb-3333cccc4444/.default

11. Exécutez la requête HTTP et copiez le access_token dans l’application web https://jwt.ms.

12. Comparez le iss avec le nom de l’émetteur que vous avez configuré dans votre API.

13. Comparez le aud avec le nom de l’ID client que vous avez configuré dans votre API.