教學課程：在 Azure Spring Apps 上使用 Spring Cloud Gateway 驗證用戶端

發行項
11/05/2024

注意

基本、標準和企業方案將從 2025 年 3 月中旬開始淘汰，並停用 3 年。建議您轉換至 Azure Container Apps。如需詳細資訊，請參閱 Azure Spring Apps 淘汰公告。

標準 耗用量和專用 方案將從 2024 年 9 月 30 日起淘汰，並在六個月後完成關閉。建議您轉換至 Azure Container Apps。如需詳細資訊，請參閱將 Azure Spring Apps 標準取用和專用方案遷移至 Azure Container Apps。

本文適用於：✅ 標準取用和專用（預覽）

本快速入門說明如何保護用戶端應用程式與裝載於 Azure Spring Apps 上的微服務應用程式之間的通訊，並受到 Spring Cloud Gateway 應用程式的防護。用戶端應用程式會驗證為安全性主體，以使用以 Spring Cloud Gateway 建置的應用程式，起始與 Azure Spring Apps 上部署之微服務的連絡。此方法會採用 Spring Cloud Gateway 的令牌轉送和 Spring Security 的資源伺服器功能，以執行 OAuth 2.0 用戶端認證流程來實現驗證和授權程式。

下列清單顯示範例項目的組成：

書籍 SPA：裝載在本機的這個單頁應用程式（SPA），會與 Books 微服務互動，以新增或搜尋書籍。
書籍微服務：
- 裝載在 Azure Spring Apps 中的 Spring Cloud Gateway 應用程式。此應用程式會作為書籍 RESTful API 的閘道運作。
- 裝載於 Azure Spring Apps 中的 Spring Boot RESTful API 應用程式。此應用程式會將書籍資訊儲存在 H2 資料庫中。 Books 服務會公開兩個 REST 端點來撰寫和讀取書籍。

1.Prerequisites

Azure 訂用帳戶。如果您沒有訂用帳戶，請先建立免費帳戶，再開始操作。
Git。
Java Development Kit （JDK）第 17 版。
Microsoft Entra 租用戶。如需如何建立 Microsoft Entra 租使用者的詳細資訊，請參閱快速入門：在 Microsoft Entra 識別符中建立新的租使用者。
Azure CLI 2.45.0 版或更新版本。
安裝 Node.js。

2. 準備 Spring 專案

使用下列步驟在本機複製並執行應用程式：

使用下列命令從 GitHub 複製範例專案：

git clone https://github.com/Azure-Samples/azure-spring-apps-sso-client-credential.git -b consumption-plan

使用下列命令來建置 Books 後端服務：

cd azure-spring-apps-sso-client-credential
./mvnw clean package

輸入 SPA 項目目錄，並使用下列命令來安裝相依性：
```
npm install @azure/msal-node
```

3.準備雲端環境

執行此範例所需的主要資源是 Azure Spring Apps 實例和適用於 PostgreSQL 的 Azure 資料庫實例。本節提供建立這些資源的步驟。

開啟網頁瀏覽器，然後移至 Azure 入口網站。輸入您的認證來登入 Azure 入口網站。預設檢視是您的服務儀表板。

3.2. 建立 Azure Spring Apps 執行個體

使用下列步驟來建立服務實例：

選取 [Azure 入口網站] 角落的 [建立資源]。
選取 [計算>Azure Spring Apps]。

在 [基本資料] 表單中填寫下列資訊：

設定	建議的值	描述
訂用帳戶	您的訂用帳戶名稱	您要用於伺服器的 Azure 訂用帳戶。如果您有多個訂用帳戶，請選擇您想要針對資源計費的訂用帳戶。
資源群組	myresourcegroup	新的資源群組名稱，或您訂用帳戶中現有的資源群組名稱。
名稱	myasa	識別 Azure Spring Apps 服務的唯一名稱。名稱長度必須為 4 到 32 個字元，且只能包含小寫字母、數字及連字號。服務名稱的第一個字元必須是字母，且最後一個字元必須是字母或數字。
計劃	標準耗用量和專用（預覽）	定價方案會決定與您的實例相關聯的資源和成本。
區域	最接近使用者的區域	最靠近您使用者的位置。
容器應用程式環境	myacaenv	選取要與其他服務和資源分享相同虛擬網路的 Container Apps 環境實例。

使用下表作為建立 Container Apps 環境的指南：

設定	建議的值	描述
環境名稱	myacaenv	識別 Azure Container Apps 環境服務的唯一名稱。
計劃	耗用	定價方案會決定與您的實例相關聯的資源和成本。
區域備援	停用	是否要在 Azure 可用性區域中建立您的 Container Apps 環境服務。

重要

取用工作負載配置檔具有隨用隨付計費模型，不需要開始成本。系統會根據布建的資源，向您收取專用工作負載配置文件的費用。如需詳細資訊，請參閱 Azure Container Apps 中取用 + 專用方案結構環境中的工作負載配置檔（預覽版）和 Azure Spring Apps 定價。

選取 [檢閱並建立] 以檢閱您的選取項目。選取 [建立] 以布建 Azure Spring Apps 實例。
在工具列上，選取 [通知] 圖示 (鈴鐺) 以監視部署程序。部署完成後，您可以選取 [釘選到儀錶板]，這會在 Azure 入口網站儀錶板上建立此服務的圖格，作為服務的 [概觀] 頁面快捷方式。選取 [移至資源 ] 以開啟服務的 [概觀 ] 頁面。
使用下列命令來啟用 Eureka 伺服器。請務必將佔位元取代為您在上一個步驟中建立的您自己的值。
```
az spring eureka-server enable \
    --resource-group <resource-group-name> \
    --name <Azure-Spring-Apps-instance-name>
```

3.3. 註冊書籍應用程式

本節提供註冊應用程式以在 Microsoft Entra ID 中新增應用程式角色的步驟，此標識碼用於保護 Azure Spring Apps 中的 RESTful API。

移至 Azure 入口網站首頁。
如果您有多個租使用者的存取權，請使用 [目錄 + 訂 用帳戶篩選條件] 來選取您要在其中註冊應用程式的租使用者。
搜尋並選取 [Microsoft Entra ID]。
在 [管理] 底下，選取 [應用程式註冊] > [新增註冊] 。
在 [名稱 ] 欄位中輸入應用程式的名稱，例如 Books。您的應用程式使用者可能會看到此名稱，而且您稍後可以加以變更。
在 [支援的帳戶類型] 區段中，選取 [僅限此組織目錄中的帳戶]。
選取 [暫存器] 以建立應用程式。
在應用程式 [概觀] 頁面上，尋找 [應用程式 (用戶端) 識別碼] 值，然後將其記下以供稍後使用。您需要此項目設定 YAML 組態檔。
在 [管理] 底下，選取 [公開 API]，在頁面開頭尋找 [應用程式標識符 URI]，然後選取 [新增]。
在 [ 編輯應用程式識別碼 URI ] 頁面上，接受建議的應用程式識別碼 URI （api://{client ID}）或使用有意義的名稱，而不是用戶端識別符，例如 api://books，然後選取 [ 儲存]。
在 [管理] 底下，選取 [應用程式角色>建立應用程式角色]，然後輸入下列資訊：
- 針對 [ 顯示名稱]，輸入 [ 寫入]。
- 針對 [ 允許的成員類型]，選取 [ 應用程式]。
- 針對 [ 值]，輸入 Books.Write。
- 針對 [ 描述]，輸入 [新增書籍]。
重複上一個步驟以新增另一個應用程式角色： Books.Read。

3.4. 註冊 SPA 應用程式

Books RESTful API 應用程式會作為資源伺服器，受到Microsoft Entra標識碼的保護。取得存取令牌之前，您必須在 Microsoft Entra 識別碼中註冊另一個應用程式，並將許可權授與名為 SPA的用戶端應用程式。

回到您的租使用者，Microsoft Entra ID。
在 [管理] 底下，選取 [應用程式註冊] > [新增註冊] 。
在 [名稱 ] 欄位中輸入應用程式的名稱，例如 SPA。
針對支援的帳戶類型，請僅使用此組織目錄中的默認帳戶。
選取 [暫存器] 以建立應用程式。
在應用程式 [概觀] 頁面上，尋找 [應用程式 (用戶端) 識別碼] 值，然後將其記下以供稍後使用。您需要它才能取得存取令牌。
選取 [API 許可權>][新增組織使用的許可權>API]。 Books選取您稍早註冊的應用程式，選取 Books.Read 和 Books.Write 許可權，然後選取 [新增許可權]。
針對您新增的許可權，選取 [授與管理員同意] 以 <授與您的租用戶名稱> 許可權。
流覽至 [ 憑證和秘密 ]，然後選取 [ 新增客戶端密碼]。
在 [ 新增客戶端密碼 ] 頁面上，輸入秘密的描述、選取到期日，然後選取 [ 新增]。
尋找秘密的值，然後記錄它以供稍後使用。您需要它才能取得存取令牌。

3.5. 更新 Books Service 應用程式的設定

找出 應用程式的 books-service/src/main/resources/application.yml 檔案 books-service 。更新區段中的 spring.cloud.azure.active-directory 組態，以符合下列範例。請務必將佔位元取代為您先前建立的值。

spring:
  cloud:
    azure:
      active-directory:
        credential:
          client-id: <your-application-ID-of-Books>
        app-id-uri: <your-application-ID-URI-of-Books>

使用下列命令重建範例專案：

./mvnw clean package

4.將應用程式部署至 Azure Spring Apps

下列步驟說明如何將應用程式部署至 Azure。

4.1. 將微服務應用程式部署至 Azure Spring Apps

使用下列步驟，使用適用於 Azure Spring Apps 的 Maven 外掛程式，將應用程式部署至 Azure Spring Apps：

瀏覽至範例項目目錄，然後使用下列命令在 Azure Spring Apps 中設定應用程式：
```
./mvnw com.microsoft.azure:azure-spring-apps-maven-plugin:1.18.0:config
```
下列清單描述命令互動：
- 選取要設定的子模組（輸入編號以逗號分隔，例如：[1-2,4,6]，ENTER 以選取 ALL）：按 Enter 鍵以選取全部。
- OAuth2 登入：根據 OAuth2 通訊協定授權登入 Azure。
- 選取訂用帳戶：選取您所建立之 Azure Spring Apps 實例的訂用帳戶清單編號，預設為清單中的第一個訂用帳戶。如果您使用預設號碼，請直接按 Enter 。
- 選取 [Azure Spring Apps 以進行部署：選取您所建立之 Azure Spring Apps 實例的清單編號。如果您使用預設號碼，請直接按 Enter 。
- 選取要公開公用存取的應用程式：（輸入編號以逗號分隔，例如：[1-2,4,6]，ENTER 以選取 [NONE]：輸入 1 for gateway-service。
- 確認儲存上述所有組態（Y/n）：輸入 y。如果您輸入 n，則組態不會儲存在 POM 檔案中。

使用下列命令來部署應用程式：

./mvnw azure-spring-apps:deploy

下列清單描述命令互動：

OAuth2 登入：您必須根據 OAuth2 通訊協定授權登入 Azure。

執行命令之後，您可以看到下列記錄訊息，指出部署成功。

[INFO] Getting public url of app(gateway-service)...
[INFO] Application url: https://gateway-service.xxxxxxxxxxxxxx-xxxxxxxx.eastasia.azurecontainerapps.io

...

[INFO] Artifact(books-service-0.0.1-SNAPSHOT.jar) is uploaded and deployment(default) is successfully updated.

...

輸出 應用程式 URL 是存取 ToDo RESTful API 應用程式的基底端點。

4.2. 在本機執行 SPA 應用程式

更新應用程式腳本檔案 spa/server.js中的SPA組態，以符合下列範例。請務必將佔位元取代為您在上一個步驟中建立的您自己的值。

const SpringCloudGatewayURL = "<URL exposed by app gateway-service>"

const msalConfig = {
    auth: {
        clientId: "< SPA App Registration ClientId>",
        authority: "https://login.microsoftonline.com/< TenantId >/",
        clientSecret: "<SPA App Registration ClientSecret>",
    },
};

const tokenRequest = {
    scopes: ["<Application ID URI of Books>/.default"]
};

在 SPA 項目目錄中，使用下列命令在本機執行：

node server.js

注意

SPA 應用程式是靜態 Web 應用程式，可部署到任何 Web 伺服器。

5.驗證應用程式

您可以透過應用程式存取與 Books RESTful API 通訊的 gateway-service Books SPA 應用程式。

在瀏覽器中移至 http://localhost:3000 以存取應用程式。
輸入 Author 和 Title 的值，然後選取 [新增書籍]。 您會看到類似下列範例的回應：
```
Book added successfully: {"id":1,"author":"Jeff Black","title":"Spring In Action"}
```

6.清除資源

您可以刪除 Azure 資源群組，其中包括資源群組中的所有資源。使用下列步驟來刪除整個資源群組 (包括新建立的服務)：

在 Azure 入口網站中找出您的資源群組。
選取 [資源群組]，然後選取資源群組的名稱， 例如 myresourcegroup。
在資源群組頁面上，選取 [刪除]。在文字框中輸入資源群組的名稱，以確認刪除。
選取 [刪除]。

7. 後續步驟

Azure Spring Apps 的結構化應用程式記錄

將現有的自訂網域對應至 Azure Spring 應用程式

使用 GitHub Actions 設定 Azure Spring Apps CI/CD

使用 Azure DevOps 設定 Azure Spring Apps CI/CD

針對 Azure Spring Apps 中的應用程式使用受控識別

執行微服務應用程式（寵物診所）

在企業方案上執行 polyglot 應用程式（ACME 健身商店）

如需詳細資訊，請參閱下列文章：

共用方式為

教學課程：在 Azure Spring Apps 上使用 Spring Cloud Gateway 驗證用戶端

1.Prerequisites

2. 準備 Spring 專案

3.準備雲端環境

3.2. 建立 Azure Spring Apps 執行個體

3.3. 註冊書籍應用程式

3.4. 註冊 SPA 應用程式

3.5. 更新 Books Service 應用程式的設定

4.將應用程式部署至 Azure Spring Apps

4.1. 將微服務應用程式部署至 Azure Spring Apps

4.2. 在本機執行 SPA 應用程式

5.驗證應用程式

6.清除資源

7. 後續步驟

意見反應

其他資源

共用方式為

教學課程：在 Azure Spring Apps 上使用 Spring Cloud Gateway 驗證用戶端

1.Prerequisites

2. 準備 Spring 專案

3.準備雲端環境

3.1. 登入 Azure 入口網站

3.2. 建立 Azure Spring Apps 執行個體

3.3. 註冊書籍應用程式

3.4. 註冊 SPA 應用程式

3.5. 更新 Books Service 應用程式的設定

4.將應用程式部署至 Azure Spring Apps

4.1. 將微服務應用程式部署至 Azure Spring Apps

4.2. 在本機執行 SPA 應用程式

5.驗證應用程式

6.清除資源

7. 後續步驟

意見反應

其他資源