Verificatie en autorisatie voor Azure Static Web Apps

Een gebruiker toevoegen aan een rol

Als u een gebruiker aan een rol wilt toevoegen, genereert u uitnodigingen waarmee u gebruikers aan specifieke rollen kunt koppelen. Rollen worden gedefinieerd en onderhouden in het bestandstaticwebapp.config.json.

Een uitnodiging maken

Uitnodigingen zijn specifiek voor afzonderlijke autorisatieproviders, dus houd rekening met de behoeften van uw app wanneer u selecteert welke providers u wilt ondersteunen. Sommige providers geven het e-mailadres van een gebruiker weer, terwijl andere alleen de gebruikersnaam van de site verstrekken.

1. Navigeer naar Static Web Apps resource in Azure Portal.
2. Klik Instellingen onder Instellingen op Role Management.
3. Klik op de knop Uitnodigen.
4. Selecteer een autorisatieprovider in de lijst met opties.
5. Voeg de gebruikersnaam of het e-mailadres van de ontvanger toe in het vak Details van uitnodiging.
   • Voor GitHub en Twitter voert u de gebruikersnaam in. Voer voor alle andere gebruikers het e-mailadres van de ontvanger in.
6. Selecteer het domein van uw statische site in de vervolgkeuzekeuze selecteren domein.
   • Het domein dat u selecteert, is het domein dat wordt weergegeven in de uitnodiging. Als u een aangepast domein aan uw site hebt gekoppeld, wilt u waarschijnlijk het aangepaste domein kiezen.
7. Voeg een door komma's gescheiden lijst met rolnamen toe in het vak Rol.
8. Voer het maximum aantal uren in dat de uitnodiging geldig moet blijven.
   • De maximaal mogelijke limiet is 168 uur, wat 7 dagen is.
9. Klik op de knop Genereren.
10. Kopieer de koppeling uit het vak Uitnodigingskoppeling.
11. Stuur de uitnodigingskoppeling via e-mail naar de persoon die u toegang verleent tot uw app.

Wanneer de gebruiker op de koppeling in de uitnodiging klikt, wordt de gebruiker gevraagd zich aan te melden met het bijbehorende account. Zodra de gebruiker is aangemeld, wordt deze gekoppeld aan de geselecteerde rollen.

Roltoewijzingen bijwerken

1. Navigeer naar Static Web Apps resource in Azure Portal.
2. Klik Instellingen onder Instellingen op Role Management.
3. Klik op de gebruiker in de lijst.
4. Bewerk de lijst met rollen in het vak Rol.
5. Klik op de knop Bijwerken.

Gebruiker verwijderen

1. Navigeer naar Static Web Apps resource in Azure Portal.
2. Klik Instellingen onder Instellingen op Role Management.
3. Zoek de gebruiker in de lijst.
4. Vink het selectievakje in de rij van de gebruiker aan.
5. Klik op de knop Verwijderen.

Houd rekening met de volgende items wanneer u een gebruiker verwijdert:

1. Als u een gebruiker verwijdert, worden de machtigingen ongeldig.
2. Wereldwijde door propagatie kan enkele minuten duren.
3. Als de gebruiker weer aan de app wordt toegevoegd, verandert userId de.

In plaats van het ingebouwde uitnodigingensysteem te gebruiken, kunt u een serverloze functie gebruiken om programmatisch rollen toe te wijzen aan gebruikers wanneer ze zich aanmelden.

Als u aangepaste rollen in een functie wilt toewijzen, kunt u een API-functie definiëren die automatisch wordt aangeroepen na elke keer dat een gebruiker wordt geverifieerd bij een id-provider. De functie wordt doorgegeven aan de gegevens van de gebruiker van de provider. Er moet een lijst met aangepaste rollen worden weergegeven die aan de gebruiker zijn toegewezen.

Een voorbeeld van het gebruik van deze functie is:

• Een query uitvoeren op een database om te bepalen aan welke rollen een gebruiker moet worden toegewezen
• De Microsoft Graph-API aanroepen om de rollen van een gebruiker te bepalen op basis van het lidmaatschap van de Active Directory-groep
• De rollen van een gebruiker bepalen op basis van claims die worden geretourneerd door de id-provider

Een functie configureren voor het toewijzen van rollen

Als u Static Web Apps API-functie wilt gebruiken als functie voor roltoewijzing, voegt u een eigenschap toe aan de sectie van het rolesSource auth configuratiebestand van uw app. De waarde van de rolesSource eigenschap is het pad naar de API-functie.

{
  "auth": {
    "rolesSource": "/api/GetRoles",
    "identityProviders": {
      // ...
    }
  }
}

Een functie maken voor het toewijzen van rollen

Nadat u de eigenschap in de configuratie van uw app hebt opgegeven, voegt u een API-functie toe aan uw rolesSource statische web-app op het pad dat u hebt opgegeven. U kunt een beheerde functie-app of een Bring Your Own Function-app gebruiken.

Telkens als een gebruiker wordt geverifieerd met een id-provider, wordt de opgegeven functie aangeroepen. De functie wordt doorgegeven aan een JSON-object in de aanvraag body dat de gegevens van de gebruiker van de provider bevat. Voor sommige id-providers bevat de gebruikersgegevens ook een die de functie kan gebruiken om API-aanroepen uit te voeren met behulp van accessToken de identiteit van de gebruiker.

Dit is een voorbeeld van een nettolading van Azure Active Directory:

{
  "identityProvider": "aad",
  "userId": "72137ad3-ae00-42b5-8d54-aacb38576d76",
  "userDetails": "ellen@contoso.com",
  "claims": [
      {
          "typ": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress",
          "val": "ellen@contoso.com"
      },
      {
          "typ": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname",
          "val": "Contoso"
      },
      {
          "typ": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname",
          "val": "Ellen"
      },
      {
          "typ": "name",
          "val": "Ellen Contoso"
      },
      {
          "typ": "http://schemas.microsoft.com/identity/claims/objectidentifier",
          "val": "7da753ff-1c8e-4b5e-affe-d89e5a57fe2f"
      },
      {
          "typ": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
          "val": "72137ad3-ae00-42b5-8d54-aacb38576d76"
      },
      {
          "typ": "http://schemas.microsoft.com/identity/claims/tenantid",
          "val": "3856f5f5-4bae-464a-9044-b72dc2dcde26"
      },
      {
          "typ": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name",
          "val": "ellen@contoso.com"
      },
      {
          "typ": "ver",
          "val": "1.0"
      }
  ],
  "accessToken": "eyJ0eXAiOiJKV..."
}

De functie kan de gegevens van de gebruiker gebruiken om te bepalen welke rollen aan de gebruiker moeten worden toegewezen. Het moet een HTTP 200-antwoord retourneren met een JSON-body met een lijst met aangepaste rolnamen die aan de gebruiker moeten worden toegewezen.

Als u de gebruiker bijvoorbeeld wilt toewijzen aan de Reader rollen Contributor en, retournt u het volgende antwoord:

{
  "roles": [
    "Reader",
    "Contributor"
  ]
}

Als u geen extra rollen aan de gebruiker wilt toewijzen, retournt u een lege roles matrix.

Zie Zelfstudie: Aangepaste rollen toewijzen met een functie en Microsoft Graph.