Behandeln von Problemen im Zusammenhang mit Ihrer API für benutzerdefinierte Anspruchsanbieter

1. Öffnen Sie für lokale Entwicklungs- und Testzwecke local.settings.json, und ersetzen Sie den Code durch den folgenden JSON-Code:

   {
     "IsEncrypted": false,
     "Values": {
       "AzureWebJobsStorage": "",
       "AzureWebJobsSecretStorageType": "files",
       "FUNCTIONS_WORKER_RUNTIME": "dotnet",
       "AuthenticationEvents__BypassTokenValidation" : false
     }
   }
   

   Hinweis

   Wenn Sie das NuGet-Paket Microsoft.Azure.WebJobs.Extensions.AuthenticationEvents verwendet haben, müssen Sie "AuthenticationEvents__BypassTokenValidation" : true für lokale Testzwecke festlegen.

2. Erstellen Sie mithilfe Ihres bevorzugten API-Testtools eine neue HTTP-Anforderung, und legen Sie die HTTP-Methode auf POST fest.

3. Fügen Sie den folgenden JSON-Text ein, der die Anforderung imitiert, die Microsoft Entra ID an Ihre REST-API sendet.

   {
       "type": "microsoft.graph.authenticationEvent.tokenIssuanceStart",
       "source": "/tenants/aaaabbbb-0000-cccc-1111-dddd2222eeee/applications/00001111-aaaa-2222-bbbb-3333cccc4444",
       "data": {
           "@odata.type": "microsoft.graph.onTokenIssuanceStartCalloutData",
           "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
           "authenticationEventListenerId": "11112222-bbbb-3333-cccc-4444dddd5555",
           "customAuthenticationExtensionId": "22223333-cccc-4444-dddd-5555eeee6666",
           "authenticationContext": {
               "correlationId": "aaaa0000-bb11-2222-33cc-444444dddddd",
               "client": {
                   "ip": "127.0.0.1",
                   "locale": "en-us",
                   "market": "en-us"
               },
               "protocol": "OAUTH2.0",
               "clientServicePrincipal": {
                   "id": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
                   "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
                   "appDisplayName": "My Test application",
                   "displayName": "My Test application"
               },
               "resourceServicePrincipal": {
                   "id": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
                   "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
                   "appDisplayName": "My Test application",
                   "displayName": "My Test application"
               },
               "user": {
                   "companyName": "Casey Jensen",
                   "createdDateTime": "2023-08-16T00:00:00Z",
                   "displayName": "Casey Jensen",
                   "givenName": "Casey",
                   "id": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",
                   "mail": "casey@contoso.com",
                   "onPremisesSamAccountName": "Casey Jensen",
                   "onPremisesSecurityIdentifier": "<Enter Security Identifier>",
                   "onPremisesUserPrincipalName": "Casey Jensen",
                   "preferredLanguage": "en-us",
                   "surname": "Jensen",
                   "userPrincipalName": "casey@contoso.com",
                   "userType": "Member"
               }
           }
       }
   }
   

   Tipp

   Wenn Sie ein aus Microsoft Entra ID abgerufenes Zugriffstoken verwenden, wählen Sie Autorisierung und anschließend Bearertokenaus, und fügen Sie dann das Zugriffstoken aus Microsoft Entra ID ein.

4. Nach dem Klicken auf Senden sollten Sie eine JSON-Antwort erhalten, die in etwa Folgendem entspricht:

   {
       "data": {
           "@odata.type": "microsoft.graph.onTokenIssuanceStartResponseData",
           "actions": [
               {
                   "@odata.type": "microsoft.graph.tokenIssuanceStart.provideClaimsForToken",
                   "claims": {
                       "customClaim1": "customClaimValue1",
                       "customClaim2": [
                           "customClaimString1",
                           "customClaimString2" 
                       ]
                   }
               }
   
           ]
       }
   }
   

Nachdem Sie ein Zugriffstoken abgerufen haben, übergeben Sie es an den HTTP-Authorization-Header. Führen Sie die folgenden Schritte aus, um ein Zugriffstoken abzurufen:

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Cloudanwendungsadministrator an.

2. Navigieren Sie zu Identität>Anwendungen>Anwendungsregistrierungen.

3. Wählen Sie die App-Registrierung Azure Functions-Authentifizierungsereignis-API aus, die Sie zuvor mithilfe von Konfigurieren eines benutzerdefinierten Anspruchsanbieters für ein Tokenausstellungsereignis (Vorschau) konfiguriert haben.

4. Kopieren Sie die Anwendungs-ID.

5. Wenn Sie kein App-Geheimnis erstellt haben, führen Sie die folgenden Schritte aus:

   1. Wählen Sie Zertifikate und Geheimnisse>Geheime Clientschlüssel>Neuer geheimer Clientschlüssel aus.
   2. Fügen Sie eine Beschreibung für Ihren geheimen Clientschlüssel hinzu.
   3. Wählen Sie für das Geheimnis eine Ablauffrist aus, oder geben Sie eine benutzerdefinierte Lebensdauer an.
   4. Wählen Sie Hinzufügen.
   5. Notieren Sie sich den Wert des geheimen Clientschlüssels, der in Ihrem Clientanwendungscode verwendet werden soll. Dieser Geheimniswert kann nach Verlassen dieser Seite nicht erneut angezeigt werden.

6. Wählen Sie im Menü Eine API verfügbar machen aus, und kopieren Sie den Wert des Anwendungs-ID-URI. Beispiel: api://contoso.azurewebsites.net/00001111-aaaa-2222-bbbb-3333cccc4444.

7. Öffnen Sie Ihr bevorzugtes API-Testtool, und erstellen Sie eine neue HTTP-Abfrage.

8. Ändern Sie die HTTP-Methode in POST.

9. Geben Sie die folgende URL ein. Ersetzen Sie {tenantID} durch Ihre Mandanten-ID.

   https://login.microsoftonline.com/{tenantID}/oauth2/v2.0/token
   

10. Wählen Sie unter Textkörper die Option form-data aus, und fügen Sie die folgenden Schlüssel hinzu:

    Schlüssel	Wert
    grant_type	client_credentials
    client_id	Die Client-ID der Anwendung.
    client_secret	Den geheimen Clientschlüssel der Anwendung.
    scope	Die Anwendungs-ID-URI der Anwendung, und fügen Sie dann .default hinzu. Beispiel: api://contoso.azurewebsites.net/00001111-aaaa-2222-bbbb-3333cccc4444/.default

11. Führen Sie die HTTP-Abfrage aus, und kopieren Sie das access_token in die Web-App https://jwt.ms.

12. Vergleichen Sie den iss mit dem Ausstellernamen, den Sie in Ihrer API konfiguriert haben.

13. Vergleichen Sie den aud mit der Client-ID, die Sie in Ihrer API konfiguriert haben.