Guida introduttiva: Acquisire un token e chiamare Microsoft Graph da un'app daemon di Java

In questa guida introduttiva si scarica e si esegue un esempio di codice che illustra come un'applicazione Java può ottenere un token di accesso usando l'identità dell'app per chiamare l'API Microsoft Graph e visualizzare un elenco di utenti nella directory. L'esempio di codice dimostra come è possibile eseguire un processo o un servizio di Windows automatico con un'identità dell'applicazione invece che con un'identità dell'utente.

Prerequisiti

Per eseguire questo esempio, sono necessari:

• Java Development Kit (JDK) 8 o versione successiva
• Maven

Registrare e scaricare l'app della guida introduttiva

Passaggio 1: Registrare l'applicazione

Per registrare l'applicazione e aggiungere manualmente le informazioni di registrazione dell'app alla soluzione, seguire questa procedura:

1. Accedere all'interfaccia di amministrazione di Microsoft Entra almeno come sviluppatore di applicazioni.
2. Se si ha accesso a più tenant, usare l'icona Impostazioni nel menu in alto per passare al tenant in cui si vuole registrare l'applicazione dal menu Directory e sottoscrizioni.
3. Passare a Identità>Applicazioni>Registrazioni applicazioni.
4. Seleziona Nuova registrazione.
5. In Nome immettere un nome per l'applicazione, ad esempio Daemon-console. Tale nome, che potrebbe essere visualizzato dagli utenti dell'app, può essere modificato in un secondo momento.
6. Selezionare Registra.
7. In Gestisci, selezionare Certificati e segreti.
8. In Segreti client selezionare Nuovo segreto client, immettere un nome e quindi selezionare Aggiungi. Registrare il valore del segreto in una posizione sicura per usarlo in un passaggio successivo.
9. In Gestisci selezionare Autorizzazioni API>Aggiungi un'autorizzazione. Selezionare Microsoft Graph.
10. Seleziona Autorizzazioni applicazione.
11. Nel nodo Utente selezionare User.Read.All, quindi selezionare Aggiungi autorizzazioni.

Passaggio 2: Scaricare il progetto Java

Scaricare il progetto daemon Java

Passaggio 3: Configurare il progetto Java

1. Estrarre il file ZIP in una cartella locale vicina alla radice del disco, ad esempio C:\Azure-Samples.
2. Spostarsi alla sottocartella msal-client-credential-secret.
3. Modificare src\main\resources\application.properties e sostituire i valori dei campi AUTHORITY, CLIENT_ID e SECRET con il frammento di codice seguente:

  AUTHORITY=https://login.microsoftonline.com/Enter_the_Tenant_Id_Here/
  CLIENT_ID=Enter_the_Application_Id_Here
  SECRET=Enter_the_Client_Secret_Here

Dove:

• Enter_the_Application_Id_Here è l'ID applicazione (client) per l'applicazione registrata.
• Enter_the_Tenant_Id_Here- sostituire questo valore con l'ID tenant o il nome del tenant (ad esempio, contoso.microsoft.com).
• Enter_the_Client_Secret_Here: sostituire questo valore con il segreto client creato nel passaggio 1.

Passaggio 4: Consenso amministratore

Se si prova a eseguire l'applicazione a questo punto, si riceverà l'errore HTTP 403 - Accesso negato: Insufficient privileges to complete the operation. Questo errore si verifica perché le autorizzazioni solo per app richiedono il consenso amministratore. È quindi necessario che un Amministratore Globale della directory conceda il consenso all'applicazione. Selezionare una delle opzioni seguenti in base al ruolo:

Amministratore del tenant globale

Gli amministratori del tenant globali devono passare alla pagina Autorizzazioni API in Registrazioni app e selezionare Concedi consenso amministratore per {nome del tenant} (dove {nome del tenant} è il nome della directory).

Utente standard

Gli utenti standard del tenant devono chiedere a un Amministratore Globale di concedere il consenso amministratore per l'applicazione. A tale scopo, assegnare l'URL seguente all'amministratore:

https://login.microsoftonline.com/Enter_the_Tenant_Id_Here/adminconsent?client_id=Enter_the_Application_Id_Here

Dove:

• Enter_the_Tenant_Id_Here: sostituire questo valore con l'ID tenant o il nome del tenant (ad esempio, contoso.microsoft.com)
• Enter_the_Application_Id_Here è l'ID applicazione (client) per l'applicazione registrata.

Passaggio 5: Eseguire l'applicazione

È possibile testare l'esempio direttamente eseguendo il metodo principale di ClientCredentialGrant.java dall'IDE.

Dalla shell o della riga di comando:

$ mvn clean compile assembly:single

Verrà generato un file msal-client-credential-secret-1.0.0.jar nella directory /targets. Eseguire questa operazione usando il file eseguibile Java come illustrato di seguito:

$ java -jar msal-client-credential-secret-1.0.0.jar

Dopo l'esecuzione, l'applicazione deve visualizzare l'elenco degli utenti nel tenant configurato.

Ulteriori informazioni

MSAL Java

MSAL Java è la libreria usata per concedere l'accesso agli utenti e richiedere i token usati per accedere a un'API protetta da Microsoft Identity Platform. Come descritto, questo avvio rapido richiede i token usando l'identità propria dell'applicazione invece delle autorizzazioni delegate. Il flusso di autenticazione usato in questo caso è noto come flusso delle credenziali client OAuth. Per altre informazioni su come usare MSAL Java con le app daemon, vedere questo articolo.

Aggiungere MSAL4J all'applicazione usando Maven o Gradle per gestire le dipendenze apportando le modifiche seguenti al file pom.xml (Maven) o build.gradle (Gradle) dell'applicazione.

In pom.xml:

<dependency>
    <groupId>com.microsoft.azure</groupId>
    <artifactId>msal4j</artifactId>
    <version>1.0.0</version>
</dependency>

In build.gradle:

compile group: 'com.microsoft.azure', name: 'msal4j', version: '1.0.0'

Inizializzazione della libreria MSAL

Aggiungere un riferimento a MSAL per Java aggiungendo il codice seguente all'inizio del file in cui verrà usato MSAL4J:

import com.microsoft.aad.msal4j.*;

Inizializzare quindi la libreria MSAL usando il codice seguente:

IClientCredential credential = ClientCredentialFactory.createFromSecret(CLIENT_SECRET);

ConfidentialClientApplication cca =
        ConfidentialClientApplication
                .builder(CLIENT_ID, credential)
                .authority(AUTHORITY)
                .build();

Richiesta di token

Per richiedere un token con l'identità dell'app, usare il metodo acquireToken:

IAuthenticationResult result;
     try {
         SilentParameters silentParameters =
                 SilentParameters
                         .builder(SCOPE)
                         .build();

         // try to acquire token silently. This call will fail since the token cache does not
         // have a token for the application you are requesting an access token for
         result = cca.acquireTokenSilently(silentParameters).join();
     } catch (Exception ex) {
         if (ex.getCause() instanceof MsalException) {

             ClientCredentialParameters parameters =
                     ClientCredentialParameters
                             .builder(SCOPE)
                             .build();

             // Try to acquire a token. If successful, you should see
             // the token information printed out to console
             result = cca.acquireToken(parameters).join();
         } else {
             // Handle other exceptions accordingly
             throw ex;
         }
     }
     return result;

Assistenza e supporto

Se è necessaria assistenza, si vuole segnalare un problema o si vogliono ottenere informazioni sulle opzioni di supporto, vedere Assistenza e supporto per gli sviluppatori.

Passaggi successivi

Per altre informazioni sulle applicazioni daemon, vedere la pagina di destinazione dello scenario.