Ověřování a autorizace pro Azure Static Web Apps

Přidání uživatele do role

Pokud chcete přidat uživatele k roli, vygeneruje se pozvánka, která vám umožní přidružit uživatele ke konkrétním rolím. Role se definují a udržují v souboru staticwebapp.config.json.

Vytvoření pozvánky

Pozvánky jsou specifické pro jednotlivé poskytovatele autorizace, proto při výběru poskytovatelů, které chcete podporovat, zvažte potřeby vaší aplikace. Někteří poskytovatelé zpřístupňuje e-mailovou adresu uživatele, zatímco jiní poskytují pouze uživatelské jméno webu.

1. V části Static Web Apps přejděte k prostředku Azure Portal.
2. V Nastavení klikněte na Správa rolí.
3. Klikněte na tlačítko Pozvat.
4. V seznamu možností vyberte zprostředkovatele autorizace.
5. Do pole Podrobnosti o pozvaným příjemci přidejte buď uživatelské jméno, nebo e-mailovou adresu příjemce.
   • Pro GitHub a Twitter zadejte uživatelské jméno. Pro všechny ostatní zadejte e-mailovou adresu příjemce.
6. V rozevíracím seznamu Doména vyberte doménu statické lokality.
   • Doména, kterou vyberete, je doména, která se zobrazí v pozvánce. Pokud máte k lokalitě přidruženou vlastní doménu, budete pravděpodobně chtít zvolit vlastní doménu.
7. Do pole Role přidejte čárkami oddělený seznam názvů rolí.
8. Zadejte maximální počet hodin, po které má pozvánka zůstat platná.
   • Maximální možný limit je 168 hodin, což je 7 dní.
9. Klikněte na tlačítko Generate (Vygenerovat).
10. Zkopírujte odkaz z pole Pozvat odkaz.
11. E-mailem pošlete odkaz na pozvánku osobě, které udělujete přístup k vaší aplikaci.

Když uživatel klikne na odkaz v pozvánce, zobrazí se výzva k přihlášení pomocí odpovídajícího účtu. Po úspěšném přihlášení je uživatel přidružený k vybraným rolím.

Aktualizace přiřazení rolí

1. V části Static Web Apps přejděte k prostředku Azure Portal.
2. V Nastavení klikněte na Správa rolí.
3. Klikněte na uživatele v seznamu.
4. Upravte seznam rolí v poli Role.
5. Klikněte na tlačítko Aktualizovat.

Odebrání uživatele

1. V části Static Web Apps přejděte k prostředku Azure Portal.
2. V Nastavení klikněte na Správa rolí.
3. Vyhledejte uživatele v seznamu.
4. Zaškrtněte políčko na řádku uživatele.
5. Klikněte na tlačítko Odstranit.

Při odebírání uživatele mějte na paměti následující položky:

1. Odebrání uživatele zruší platnost svých oprávnění.
2. Šíření po celém světě může trvat několik minut.
3. Pokud se uživatel přidá zpět do aplikace, změní userId se.

Místo integrovaného systému pozvánek můžete pomocí funkce bez serveru přiřazovat role uživatelům při přihlášení prostřednictvím kódu programu.

Pokud chcete ve funkci přiřadit vlastní role, můžete definovat funkci rozhraní API, která se automaticky volá po každém úspěšném ověření uživatele pomocí zprostředkovatele identity. Funkce se předá informace o uživateli od zprostředkovatele. Musí vrátit seznam vlastních rolí, které jsou přiřazeny uživateli.

Mezi příklady použití této funkce patří:

• Určení rolí, které by měl uživatel přiřadit, pomocí dotazu na databázi
• Volání rozhraní Microsoft Graph API k určení rolí uživatele na základě členství ve skupinách Active Directory
• Určení rolí uživatele na základě deklarací identity vrácených zprostředkovatelem identity

Konfigurace funkce pro přiřazování rolí

Pokud chcete Static Web Apps, aby jako funkci přiřazení role bylo možné použít funkci rozhraní API, přidejte vlastnost do oddílu rolesSource auth konfiguračního souboru vaší aplikace. Hodnota vlastnosti rolesSource je cesta k funkci rozhraní API.

{
  "auth": {
    "rolesSource": "/api/GetRoles",
    "identityProviders": {
      // ...
    }
  }
}

Vytvoření funkce pro přiřazování rolí

Po definování vlastnosti v konfiguraci vaší aplikace přidejte do statické webové aplikace funkci rolesSource rozhraní API na zadanou cestu. Můžete použít spravovanou aplikaci funkcí nebo vlastní aplikaci funkcí Bring Your Own.

Pokaždé, když se uživatel úspěšně ověří pomocí zprostředkovatele identity, je volána zadaná funkce. Funkci se předá objekt JSON v textu požadavku, který obsahuje informace o uživateli od zprostředkovatele. U některých zprostředkovatelů identity informace o uživateli zahrnují také , pomocí které může funkce provádět volání rozhraní API pomocí accessToken identity uživatele.

Toto je příklad datové části z Azure Active Directory:

{
  "identityProvider": "aad",
  "userId": "72137ad3-ae00-42b5-8d54-aacb38576d76",
  "userDetails": "ellen@contoso.com",
  "claims": [
      {
          "typ": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress",
          "val": "ellen@contoso.com"
      },
      {
          "typ": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname",
          "val": "Contoso"
      },
      {
          "typ": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname",
          "val": "Ellen"
      },
      {
          "typ": "name",
          "val": "Ellen Contoso"
      },
      {
          "typ": "http://schemas.microsoft.com/identity/claims/objectidentifier",
          "val": "7da753ff-1c8e-4b5e-affe-d89e5a57fe2f"
      },
      {
          "typ": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
          "val": "72137ad3-ae00-42b5-8d54-aacb38576d76"
      },
      {
          "typ": "http://schemas.microsoft.com/identity/claims/tenantid",
          "val": "3856f5f5-4bae-464a-9044-b72dc2dcde26"
      },
      {
          "typ": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name",
          "val": "ellen@contoso.com"
      },
      {
          "typ": "ver",
          "val": "1.0"
      }
  ],
  "accessToken": "eyJ0eXAiOiJKV..."
}

Funkce může pomocí informací o uživateli určit, které role se mají uživateli přiřadit. Musí vrátit odpověď HTTP 200 s textem JSON obsahujícím seznam vlastních názvů rolí pro přiřazení uživateli.

Pokud například chcete přiřadit uživatele k rolím Reader a Contributor , vraťte následující odpověď:

{
  "roles": [
    "Reader",
    "Contributor"
  ]
}

Pokud uživateli nechcete přiřadit žádné další role, vraťte prázdné roles pole.

Další informace najdete v tématu kurz: přiřazení vlastních rolí s funkcí a Microsoft Graph.