Partager via

Sécuriser les applications Java WebLogic à l’aide de rôles et de revendications de rôle

  • Article

Cet article présente une application Java WebLogic qui utilise OpenID Connect pour connecter des utilisateurs et des rôles d’application Microsoft Entra ID (rôles d’application) pour l’autorisation.

Cette application implémente le contrôle d’accès en fonction du rôle (RBAC) à l’aide des rôles d’application et de la fonctionnalité de revendications de rôle de Microsoft Entra ID. Une autre approche consiste à utiliser des groupes Microsoft Entra ID et des revendications de groupe. Les groupes Microsoft Entra ID et les rôles d’application ne s’excluent pas mutuellement. Vous pouvez utiliser les deux pour fournir un contrôle d’accès précis.

Vous pouvez également utiliser le RBAC avec des rôles d’application et des revendications de rôle pour appliquer en toute sécurité des stratégies d’autorisation.

Pour voir une vidéo qui couvre ce scénario et cet exemple, consultez Implémenter l’autorisation dans vos applications avec des rôles d’application, des groupes de sécurité, des étendues et des rôles d’annuaire.

Pour en savoir plus sur le fonctionnement des protocoles dans ce scénario et dans d’autres, consultez Authentification ou autorisation.

Cette application utilise MSAL pour Java (MSAL4J) pour connecter un utilisateur et obtenir un jeton d’ID à partir de Microsoft Entra ID.

Cet exemple utilise d’abord MSAL pour Java (MSAL4J) pour connecter l’utilisateur. La page d’accueil affiche une option permettant à l’utilisateur de voir les revendications dans ses jetons d’ID. Cette application permet également aux utilisateurs d’afficher une page d’administrateur privilégié ou une page d’utilisateur habituel, en fonction du rôle d’application qui leur a été affecté. Le but est de montrer comment, dans une application, l’accès à certaines fonctionnalités ou pages est limité à des sous-ensembles d’utilisateurs en fonction du rôle qui leur est affecté.

Ce type d’autorisation est implémenté à l’aide du RBAC. En utilisant le RBAC, un administrateur accorde des autorisations aux rôles, pas à des utilisateurs individuels ou à des groupes. L’administrateur peut alors attribuer des rôles aux différents utilisateurs et groupes pour contrôler l’accès à certains contenus et fonctionnalités.

Cet exemple d’application définit les deux rôles d’application suivants :

  • PrivilegedAdmin : autorisé à accéder aux pages Administrateurs uniquement et Utilisateurs habituels.
  • RegularUser : autorisé à accéder à la page Utilisateurs habituels.

Ces rôles d’application sont définis dans le portail Azure au sein du manifeste de l’inscription d’application. Lorsqu’un utilisateur se connecte à l’application, Microsoft Entra ID émet une revendication de rôles pour chaque rôle accordé individuellement à l’utilisateur sous la forme d’une appartenance à un rôle.

Vous affecter des utilisateurs et des groupes à des rôles sur le portail Azure.

Remarque

Les revendications de rôle ne sont pas disponibles pour les utilisateurs invités d’un locataire si le point de terminaison https://login.microsoftonline.com/common/ est utilisé comme autorité pour connecter des utilisateurs. Vous devez connecter un utilisateur à un point de terminaison client tel que https://login.microsoftonline.com/tenantid.

Prérequis

Recommandations

  • Être familiarisé avec Java/Jakarta Servlets.
  • Être familiarisé avec le terminal Linux/OSX.
  • jwt.ms pour inspecter vos jetons.
  • Fiddler pour la supervision de votre activité réseau et la résolution des problèmes.
  • Suivez le blog Microsoft Entra ID pour rester au courant des dernières évolutions.

Configurer l’exemple

Les sections suivantes vous montrent comment configurer l’exemple d’application.

Clonez ou téléchargez l’exemple de dépôt

Pour cloner l’exemple, ouvrez une fenêtre Bash et utilisez la commande suivante :

git clone https://github.com/Azure-Samples/ms-identity-msal-java-samples.git
cd 3-java-servlet-web-app/3-Authorization-II/roles

Vous pouvez également accéder au dépôt ms-identity-msal-java-samples, puis le télécharger en tant que fichier .zip et l’extraire sur votre disque dur.

Important

Pour éviter les limitations de longueur de fichier sous Windows, clonez ou extrayez le dépôt dans un répertoire proche de la racine de votre disque dur.

Inscrivez l’exemple d’application auprès de votre locataire Microsoft Entra ID

Cet exemple contient un seul projet. Les sections suivantes vous montrent comment inscrire l’application à l’aide du Portail Azure.

Choisissez le locataire Microsoft Entra ID où vous voulez créer vos applications.

Pour choisir votre locataire, suivez les étapes ci-dessous :

  1. Connectez-vous au portail Azure.

  2. Si votre compte est présent dans plusieurs locataires Microsoft Entra ID, sélectionnez votre profil dans le coin du portail Azure, puis sélectionnez Changer d’annuaire pour faire correspondre votre session au locataire Microsoft Entra ID souhaité.

Inscrire l’application (java-servlet-webapp-roles)

Commencez par inscrire une nouvelle application dans le portail Azure en suivant les instructions de Démarrage rapide : inscrire une application sur la plateforme d’identité Microsoft.

Procédez comme suit pour compléter l’inscription :

  1. Accédez à la page Inscriptions d’applications de la plateforme d’identités Microsoft pour les développeurs.

  2. Sélectionnez Nouvelle inscription.

  3. Dans la page Inscrire une application qui s’affiche, saisissez les informations suivantes relatives à l’inscription de votre application :

    • Dans la section Nom, saisissez un nom d’application cohérent qui s’affichera pour les utilisateurs de l’application, par exemple java-servlet-webapp-roles.

    • Sous Types de comptes pris en charge, sélectionnez l’une des options suivantes :

      • Sélectionnez Comptes dans cet annuaire organisationnel uniquement si vous créez une application destinée uniquement aux utilisateurs de votre locataire, c’est-à-dire une application monolocataire.

    • Dans la section URI de redirection, sélectionnez Web dans la zone de liste modifiable et entrez l’URI de redirection suivant : http://localhost:8080/msal4j-servlet-roles/auth/redirect.

  4. Sélectionnez Inscrire pour créer l’application.

  5. Dans la page d’inscription de l’application, recherchez et copiez la valeur ID d’application (client) pour l’utiliser ultérieurement. Vous utilisez cette valeur dans le ou les fichiers de configuration de votre application.

  6. Cliquez sur Enregistrer pour enregistrer vos modifications.

  7. Sur la page d’inscription de l’application, sélectionnez Certificats et secrets dans le volet de navigation pour ouvrir la page permettant de générer des secrets et de charger des certificats.

  8. Dans la section Secrets client, sélectionnez Nouveau secret client.

  9. Saisissez une description (par exemple, secret de l’application).

  10. Sélectionnez l’une des durées disponibles : Dans 1 an, Dans 2 ans ou N’expire jamais.

  11. Sélectionnez Ajouter. La valeur générée s’affiche.

  12. Copiez et sauvegardez la valeur générée pour l’utiliser dans les étapes ultérieures. Vous avez besoin de cette valeur pour les fichiers de configuration de votre code. Cette valeur n’apparaîtra plus, et vous ne pouvez pas la récupérer par d’autres moyens. Veillez donc à la sauvegarder à partir du portail Azure avant d’accéder un autre écran ou à un autre volet.

Définition des rôles d’application

Pour définir les rôles d’application, procédez comme suit :

  1. Sans quitter l’inscription d’application, sélectionnez Rôles d’application dans le volet de navigation.

  2. Sélectionnez Créer un rôle d’application, puis saisissez les valeurs suivantes :

    • Pour Nom d’affichage, saisissez un nom approprié, par exemple PrivilegedAdmin.
    • Pour Types de membres autorisés, choisissez Utilisateur.
    • Pour Valeur, saisissez PrivilegedAdmin.
    • Pour Description, saisissez PrivilegedAdmins qui peut consulter la page d’administration.

  3. Sélectionnez Créer un rôle d’application, puis saisissez les valeurs suivantes :

    • Pour Nom d’affichage, saisissez un nom approprié, par exemple RegularUser.
    • Pour Types de membres autorisés, choisissez Utilisateur.
    • Pour Valeur, saisissez RegularUser.
    • Pour Description, saisissez RegularUsers qui peut consulter la page utilisateur.

  4. Sélectionnez Appliquer pour enregistrer vos modifications.

Attribuer des utilisateurs aux rôles d’application

Pour ajouter des utilisateurs au rôle d’application défini précédemment, suivez les instructions suivantes : Affecter des utilisateurs et des groupes à des rôles.

Configurer l’application (java-servlet-webapp-call-roles) pour utiliser l’inscription de votre application

Pour configurer l’application, procédez comme suit :

Remarque

Dans les étapes suivantes, ClientID est identique à Application ID ou AppId.

  1. Ouvrez le projet dans votre IDE.

  2. Ouvrez le fichier authentication.properties.

  3. Recherchez la chaîne {enter-your-tenant-id-here}. Remplacez la valeur existante par votre ID de locataire Microsoft Entra ID.

  4. Recherchez la chaîne {enter-your-client-id-here} et remplacez la valeur existante par l’ID d’application ou l’clientId de l’application java-servlet-webapp-call-graph que vous avez copié à partir du portail Azure.

  5. Recherchez la chaîne {enter-your-client-secret-here} et remplacez la valeur existante par celle que vous avez sauvegardée durant la création de l’application java-servlet-webapp-roles dans le portail Azure.

  6. Recherchez la propriété app.roles et vérifiez que la valeur est définie sur app.roles=admin PrivilegedAdmin, user RegularUser, ou remplacez les noms de vos rôles spécifiques.

Générer l’exemple

Pour générer l’exemple à l’aide de Maven, accédez au répertoire contenant le fichier pom.xml pour l’exemple, puis exécutez la commande suivante :

mvn clean package

Cette commande génère un fichier .war que vous pouvez exécuter sur différents serveurs d’applications.

Déployer l'exemple

Ces instructions supposent que vous avez installé WebLogic et configuré un domaine de serveur.

Avant de pouvoir déployer sur WebLogic, suivez les étapes ci-dessous pour apporter des modifications à la configuration de l’exemple lui-même, puis générez ou regénérez le package :

  1. Dans l’exemple, recherchez le fichier application.properties ou authentication.properties dans lequel vous avez configuré l’ID client, le locataire, l’URL de redirection, etc.

  2. Dans ce fichier, modifiez les références vers localhost:8080 ou localhost:8443 vers l’URL et le port sur lesquels WebLogic s’exécute, qui doit être localhost:7001 par défaut.

  3. Vous devez également apporter la même modification dans l’inscription de l’application Azure, où vous l’avez définie dans le Portail Azure comme la valeur d’URI de redirection sous l’onglet Authentification.

Suivez les étapes ci-dessous pour déployer l’exemple sur WebLogic via la console web :

  1. Démarrez le serveur WebLogic à l’aide de DOMAIN_NAME\bin\startWebLogic.cmd.

  2. Accédez à la console web WebLogic dans votre navigateur à l’adresse http://localhost:7001/console.

  3. Accédez à Structure de domaine>Déploiements, sélectionnez Installer, puis Charger vos fichiers, et recherchez le fichier .war que vous avez créé à l’aide de Maven.

  4. Sélectionnez Installer ce déploiement en tant qu’application, sélectionnez Suivant, Terminer, puis Sauvegarder.

  5. La plupart des paramètres par défaut devraient être corrects, sauf le nom de l’application qui doit correspondre à l’URI de redirection que vous avez défini dans l’exemple de configuration ou dans l’inscription de l’application Azure. Autrement dit, si l’URI de redirection est http://localhost:7001/msal4j-servlet-auth, vous devez nommer l’application msal4j-servlet-auth.

  6. Revenez à Structure de domaine>Déploiements et démarrez votre application.

  7. Une fois l’application démarrée, accédez à http://localhost:7001/<application-name>/. Vous devriez alors être en mesure d’accéder à cette dernière.

Explorer l’exemple

Procédez comme suit pour examiner l’exemple :

  1. Notez l’état de connexion ou de déconnexion qui s’affiche au centre de l’écran.
  2. Sélectionnez le bouton contextuel dans le coin. Ce bouton indique Connexion lorsque vous exécutez l’application pour la première fois.
  3. Suivez les instructions de la page suivante et connectez-vous avec un compte dans le locataire Microsoft Entra ID.
  4. Sur l’écran de consentement, notez les portées demandées.
  5. Notez que le bouton contextuel indique maintenant Déconnexion et affiche votre nom d’utilisateur.
  6. Sélectionnez Détails du jeton d’ID pour voir certaines des revendications décodées du jeton d’ID.
  7. Sélectionnez Administrateurs uniquement pour afficher la page /admin_only. Seuls les utilisateurs disposant d’un rôle d’application PrivilegedAdmin peuvent voir cette page. Pour les autres, un message d’échec d’autorisation s’affiche.
  8. Sélectionnez Utilisateurs habituels pour afficher la page /regular_user. Seuls les utilisateurs disposant d’un rôle d’application RegularUser ou PrivilegedAdmin peuvent voir cette page. Pour les autres, un message d’échec d’autorisation s’affiche.
  9. Utilisez le bouton dans le coin pour vous déconnecter.

À propos du code

Dans cet exemple, nous utilisons MSAL pour Java (MSAL4J) pour connecter un utilisateur et obtenir un jeton d’ID susceptible de contenir la revendication de rôles. En fonction de la revendication de rôles disponible, l’utilisateur connecté ne peut accéder à aucune, à une ou aux deux des pages protégées, Admins Only et Regular Users.

Si vous souhaitez répliquer le comportement de cet exemple, vous pouvez copier le fichier pom.xml et le contenu des dossiers helpers et authservlets dans le dossier src/main/java/com/microsoft/azuresamples/msal4j. Vous avez également besoin du fichier authentication.properties. Ces classes et ces fichiers contiennent du code générique que vous pouvez utiliser dans un large éventail d’applications. Vous pouvez également copier le reste de l’exemple, mais les autres classes et fichiers sont créés spécifiquement aux fins de l’objectif de cet exemple.

Contenu

Le tableau suivant montre le contenu de l’exemple de dossier du projet :

Fichier/Dossier Description
src/main/java/com/microsoft/azuresamples/msal4j/roles/ Ce répertoire contient les classes qui définissent la logique métier principale de l’application.
src/main/java/com/microsoft/azuresamples/msal4j/authservlets/ Ce répertoire contient les classes utilisées pour les points de terminaison de connexion et de déconnexion.
____Servlet.java Tous les points de terminaison disponibles sont définis dans les classe .java qui se terminent par ____Servlet.java.
src/main/java/com/microsoft/azuresamples/msal4j/helpers/ Classes d’assistance pour l’authentification.
AuthenticationFilter.java Redirige les demandes non authentifiées vers des points de terminaison protégés vers une page 401.
src/main/resources/authentication.properties Configuration de Microsoft Entra ID et du programme.
src/main/webapp/ Ce répertoire contient l’interface utilisateur - Modèles JSP
CHANGELOG.md Liste des modifications apportées à l’exemple.
CONTRIBUTING.md Instructions pour contribuer à l’exemple.
LICENCE Licence de l’exemple.

Traiter une revendication de rôles dans le jeton d’ID

La revendication de rôles du jeton inclut les noms des rôles auxquels l’utilisateur connecté est affecté, comme dans l’exemple suivant :

{
  ...
  "roles": [
    "Role1",
    "Role2",]
  ...
}

ConfidentialClientApplication

Une ConfidentialClientApplication instance est créée dans le fichier AuthHelper.java, comme le montre l’exemple suivant. Cet objet permet de créer l’URL d’autorisation de Microsoft Entra et d’échanger le jeton d’authentification contre un jeton d’accès.

// getConfidentialClientInstance method
IClientSecret secret = ClientCredentialFactory.createFromSecret(SECRET);
confClientInstance = ConfidentialClientApplication
                     .builder(CLIENT_ID, secret)
                     .authority(AUTHORITY)
                     .build();

Les paramètres suivants sont utilisés pour l’instanciation :

  • ID client de l’application.
  • Secret client, lequel est une exigence pour les applications clientes confidentielles.
  • L’autorité Microsoft Entra ID, qui inclut votre ID de locataire Microsoft Entra.

Dans cet exemple, ces valeurs sont lues à partir du fichier authentication.properties avec un lecteur de propriétés dans le fichier Config.java.

Procédure pas-à-pas

Les étapes suivantes présentent le fonctionnement détaillé de l’application :

  1. La première étape du processus de connexion consiste à envoyer une demande au point de terminaison /authorize de votre locataire Microsoft Entra ID. L’instance ConfidentialClientApplication MSAL4J est utilisée pour construire une URL de demande d’autorisation. L’application redirige le navigateur vers cette URL, où l’utilisateur se connecte.

    final ConfidentialClientApplication client = getConfidentialClientInstance();
AuthorizationRequestUrlParameters parameters = AuthorizationRequestUrlParameters.builder(Config.REDIRECT_URI, Collections.singleton(Config.SCOPES))
        .responseMode(ResponseMode.QUERY).prompt(Prompt.SELECT_ACCOUNT).state(state).nonce(nonce).build();

final String authorizeUrl = client.getAuthorizationRequestUrl(parameters).toString();
contextAdapter.redirectUser(authorizeUrl);

    La liste suivante décrit les fonctionnalités de ce code :

    • AuthorizationRequestUrlParameters : paramètres qui doivent être définis pour générer un AuthorizationRequestUrl.
    • REDIRECT_URI : où Microsoft Entra ID redirige le navigateur, avec le code d’authentification, après avoir collecté les informations d’identification de l’utilisateur. Il doit correspondre à l’URI de redirection dans l’inscription de l’application Microsoft Entra ID sur le portail Azure.
    • SCOPES : les Étendues sont des autorisations demandées par l’application.
      • Normalement, les trois étendues openid profile offline_access suffisent pour recevoir une réponse du jeton d’ID.
      • Vous trouverez la liste complète des étendues demandées par l’application dans le fichier authentication.properties. Vous pouvez ajouter d’autres étendues telles que User.Read.

  2. L’utilisateur reçoit une invite de connexion de Microsoft Entra ID. Si la tentative de connexion réussit, le navigateur de l’utilisateur est redirigé vers le point de terminaison de redirection de l’application. Une requête valide à ce point de terminaison contient un code d’autorisation.

  3. L’instance ConfidentialClientApplication échange ensuite ce code d’autorisation contre un jeton d’ID et un jeton d’accès à partir de Microsoft Entra ID.

    // First, validate the state, then parse any error codes in response, then extract the authCode. Then:
// build the auth code params:
final AuthorizationCodeParameters authParams = AuthorizationCodeParameters
        .builder(authCode, new URI(Config.REDIRECT_URI)).scopes(Collections.singleton(Config.SCOPES)).build();

// Get a client instance and leverage it to acquire the token:
final ConfidentialClientApplication client = AuthHelper.getConfidentialClientInstance();
final IAuthenticationResult result = client.acquireToken(authParams).get();

    La liste suivante décrit les fonctionnalités de ce code :

    • AuthorizationCodeParameters : paramètres qui doivent être définis pour échanger le code d’autorisation contre un ID et/ou un jeton d’accès.
    • authCode : code d’autorisation reçu au niveau du point de terminaison de redirection.
    • REDIRECT_URI : l’URI de redirection utilisé à l’étape précédente doit être repassé.
    • SCOPES : les étendues utilisées à l’étape précédente doivent être repassées.

  4. Si acquireToken réussit, les revendications du jeton sont extraites. Si le contrôle nonce réussit, les résultats sont placés dans context (instance de IdentityContextData ) et enregistrés dans la session. L’application peut ensuite instancier les IdentityContextData à partir de la session (au moyen d’une instance de IdentityContextAdapterServlet) chaque fois qu’elle a besoin d’y accéder, comme montré dans le code suivant :

    // parse IdToken claims from the IAuthenticationResult:
// (the next step - validateNonce - requires parsed claims)
context.setIdTokenClaims(result.idToken());

// if nonce is invalid, stop immediately! this could be a token replay!
// if validation fails, throws exception and cancels auth:
validateNonce(context);

// set user to authenticated:
context.setAuthResult(result, client.tokenCache().serialize());

Protéger les itinéraires

Pour en savoir plus sur la façon dont l’exemple d’application filtre l’accès aux itinéraires, consultez AuthenticationFilter.java. Dans le fichier authentication.properties, la propriété app.protect.authenticated contient les itinéraires séparés par des virgules auxquels seuls les utilisateurs authentifiés peuvent accéder, comme illustré dans l’exemple suivant :

# for example, /token_details requires any user to be signed in and does not require special roles claim(s)
app.protect.authenticated=/token_details

Les itinéraires répertoriés dans les ensembles de règles séparés par des virgules sous le app.protect.roles ont également hors limites pour les utilisateurs non authentifiés, comme le montre l’exemple suivant. Cependant, ces itinéraires contiennent également une liste de rôles d’application séparés par des espaces : seuls les utilisateurs ayant au moins l’un des rôles correspondants peuvent accéder à ces itinéraires après s’être authentifiés.

# local short names for app roles - for example, sets admin to mean PrivilegedAdmin (useful for long rule sets defined in the next key, app.protect.roles)
app.roles=admin PrivilegedAdmin, user RegularUser

# A route and its corresponding <space-separated> role(s) that can access it; the start of the next route & its role(s) is delimited by a <comma-and-space-separator>
# this says: /admins_only can be accessed by PrivilegedAdmin, /regular_user can be accessed by PrivilegedAdmin role and the RegularUser role
app.protect.roles=/admin_only admin, /regular_user admin user

Étendues

Les étendues indiquent à Microsoft Entra ID le niveau d’accès demandé par l’application.

Selon les étendues demandées, Microsoft Entra ID affiche une boîte de dialogue invitant l’utilisateur à donner son consentement au moment de la connexion. Si l’utilisateur donne son consentement pour une ou plusieurs étendues et obtient un jeton, les étendues qui ont fait l’objet d’un consentement sont encodées dans le access_token obtenu.

Pour connaître les étendues demandées par l’application, consultez authentication.properties. Ces trois étendues sont demandées par MSAL et fournies par Microsoft Entra ID par défaut.

Plus d’informations

Étape suivante

Déployer des applications Java WebLogic sur WebLogic sur des machines virtuelles Azure