<think>
我们被要求回答如何在ASP.NET 4.8项目中集成Microsoft
Entra ID（原名Azure AD）。根据提供的引用，虽然引用主要针对ASP.NET Core，但我们可以结合引用中的概念和一般性知识来回答。注意：ASP.NET 4.8（即传统的ASP.NET，非Core）的集成方式与ASP.NET Core有所不同。
在ASP.NET 4.8中，我们可以使用Owin中间件来集成Microsoft
Entra ID。主要步骤包括：
1. 在Azure门户中注册应用程序。
2. 在项目中安装必要的NuGet包（如Microsoft.Owin.Security.Open
IdConnect, Microsoft.Owin.Security.Cookies等）。
3.
配置Owin启动类，设置Open
ID Connect认证中间件。
具体步骤：
### 1. 在Azure门户中注册应用程序
-
登录Azure门户，进入Microsoft
Entra ID（或Azure AD）。
- 创建新注册：提供名称，选择支持的账户类型（例如，仅限组织目录中的账户）。
- 注册后，记录应用程序（客户端）
ID和目录（租户）
ID。
- 在“证书和密码”部分，可以创建客户端密码（如果需要，例如守护程序场景）或上传证书。
- 在“重定向URI”中，添加应用程序
登录后重定向的URI（例如：`https://localhost:44300/`，具体端口根据项目）。
### 2. 创建项目并安装NuGet包
创建一个ASP.NET 4.8项目（例如MVC或Web Forms），然后通过NuGet安装以下包：
- Microsoft.Owin.Host.SystemWeb
- Microsoft.Owin.Security
- Microsoft.Owin.Security.Cookies
- Microsoft.Owin.Security.Open
IdConnect
- Microsoft.
IdentityModel.Protocols.Open
IdConnect
### 3.
配置Owin启动类
在项目中添加一个Owin启动类（通常命名为`Startup.cs`），并
配置认证中间件。
```csharp
using Microsoft.Owin;
using Owin;
using Microsoft.Owin.Security;
using Microsoft.Owin.Security.Cookies;
using Microsoft.Owin.Security.Open
IdConnect;
using Microsoft.
IdentityModel.Protocols;
using System.Configuration;
using System.Threading.Tasks;
[assembly: OwinStartup
(typeof
(YourNamespace.Startup
))]
namespace YourNamespace
{
public class Startup
{
// 从
配置文件中读取设置
private readonly string client
Id = ConfigurationManager.AppSettings["Client
Id"];
private readonly string tenant
Id = ConfigurationManager.AppSettings["Tenant
Id"];
private readonly string redirectUri = ConfigurationManager.AppSettings["RedirectUri"];
private readonly string authority = "https://login.microsoftonline.com/{0}/v2.0";
public vo
id Configuration
(IAppBuilder app
)
{
// 设置Cookie认证
app.SetDefaultSignInAsAuthenticationType
(CookieAuthenticationDefaults.AuthenticationType
);
app.UseCookieAuthentication
(new CookieAuthenticationOptions
());
//
配置Open
ID Connect认证
app.UseOpen
IdConnectAuthentication
(new Open
IdConnectAuthenticationOptions
{
Client
Id = client
Id,
Authority = string.Format
(authority, tenant
Id),
RedirectUri = redirectUri,
PostLogoutRedirectUri = redirectUri,
Scope = "open
id email profile", // 根据需要添加其他范围
ResponseType = "
id_token", // 隐式流返回
id_token
TokenVal
idationParameters = new Microsoft.
IdentityModel.Tokens.TokenVal
idationParameters
{
// 验证令牌的颁发者
Val
idIssuer = $"https://sts.windows.net/{tenant
Id}/"
},
Notifications = new Open
IdConnectAuthenticationNotifications
{
AuthenticationFailed = context =>
{
context.HandleResponse
();
context.Response.Redirect
("/Error?message=" + context.Exception.Message
);
return Task.FromResult
(0
);
}
}
}
);
}
}
}
```
### 4. 修改Web.config
在Web.config的`<appSettings>`中添加
配置：
```xml
<add key="Client
Id" value="你的应用程序
(客户端
)ID" />
<add key="Tenant
Id" value="你的目录
(租户
)ID" />
<add key="RedirectUri" value="https://localhost:44300/" />
```
### 5. 添加
登录和注销功能
在需要的地方（例如在视图或控制器中）添加
登录和注销的链接。
登录：可以触发挑战，例如在控制器中：
```csharp
public vo
id SignIn
()
{
if
(!Request.IsAuthenticated
)
{
// 发送Open
ID Connect
登录请求
HttpContext.GetOwinContext
().Authentication.Challenge
(
new AuthenticationProperties { RedirectUri = "/" },
Open
IdConnectAuthenticationDefaults.AuthenticationType
);
}
}
```
注销：同样在控制器中：
```csharp
public vo
id SignOut
()
{
// 注销本地Cookie并重定向到Microsoft
Entra ID注销端点
HttpContext.GetOwinContext
().Authentication.SignOut
(
Open
IdConnectAuthenticationDefaults.AuthenticationType,
CookieAuthenticationDefaults.AuthenticationType
);
}
```
### 6. 授权
可以使用`[Authorize]`特性来保护控制器或方法。对于基于角色的授权，可以在Microsoft
Entra ID中定义应用角色，并将用户分配给这些角色。然后在令牌中会返回角色声明，然后就可以使用`[Authorize
(Roles="Admin"
)]`这样的特性。
注意：在传统ASP.NET中，需要将角色声明转换为ASP.NET能够识别的角色类型。可以在`Global.asax`的`Application_Start`中设置：
```csharp
System.Web.Helpers.AntiForgeryConfig.UniqueClaimType
Identifier = "http://schemas.microsoft.com/
identity/claims/object
identifier";
```
然后在令牌验证时，将角色声明转换为`Claims
Identity`的角色声明。通常，在Open
ID Connect中间件中，我们可以通过设置`TokenVal
idationParameters.RoleClaimType`来指定角色声明类型。
### 注意事项
- 上述示例使用隐式流（返回
id_token）进行用户
登录。如果应用还需要访问其他API，可能需要使用授权码流（并添加`code`响应类型）以获取访问令牌。
- 在生产环境中，应使用HTTPS，并确保重定向URI已正确注册。
以上是在ASP.NET 4.8中集成Microsoft
Entra ID进行身份验证的基本步骤。具体细节可能需要根据实际需求调整。
§§相关问题§§
1. 在ASP.NET 4.8中集成Microsoft
Entra ID时，如何处理角色授权？
2. 如何在Microsoft
Entra ID中为应用程序
配置应用角色？
3. 在ASP.NET 4.8中，如何获取用户的访问令牌以调用其他受保护的API？
</think>
### 在 ASP.NET 4.8 中集成 Microsoft
Entra ID 的步骤
#### 1. **在 Azure 门户注册应用程序**
-
登录 [Azure 门户]
(https://portal.azure.com
)，进入 **Microsoft
Entra ID**（原 Azure AD）
- 选择 **应用注册** → **新注册**
- 填写应用名称（如 `MyAspNetApp`），选择 **账户类型**（如 "仅此组织目录"）
- 设置 **重定向 URI**：选择 **Web** 类型，输入 `https://localhost:{端口}/signin-o
idc`（端口需与本地 IIS Express 一致）
- 记录 **应用程序（客户端）
ID** 和 **目录（租户）
ID**[^3]
#### 2. **
配置项目 NuGet 包**
在 Visual Studio 中安装必要包：
```powershell
Install-Package Microsoft.Owin.Security.Open
IdConnect
Install-Package Microsoft.Owin.Security.Cookies
Install-Package Microsoft.Owin.Host.SystemWeb
```
#### 3. **添加 OWIN 启动
配置**
创建 `Startup.cs` 文件，
配置认证中间件：
```csharp
using Microsoft.Owin;
using Owin;
using Microsoft.Owin.Security;
using Microsoft.Owin.Security.Cookies;
using Microsoft.Owin.Security.Open
IdConnect;
[assembly: OwinStartup
(typeof
(MyNamespace.Startup
))]
namespace MyNamespace
{
public class Startup
{
public vo
id Configuration
(IAppBuilder app
)
{
// Cookie 认证设置
app.SetDefaultSignInAsAuthenticationType
(CookieAuthenticationDefaults.AuthenticationType
);
app.UseCookieAuthentication
(new CookieAuthenticationOptions
());
// Open
ID Connect
配置
var client
Id = "你的客户端
ID";
var tenant
Id = "你的租户
ID";
var authority = $"https://login.microsoftonline.com/{tenant
Id}/v2.0";
app.UseOpen
IdConnectAuthentication
(new Open
IdConnectAuthenticationOptions
{
Client
Id = client
Id,
Authority = authority,
RedirectUri = "https://localhost:44300/", // 匹配 Azure 设置
PostLogoutRedirectUri = "https://localhost:44300/",
Scope = "open
id profile email",
ResponseType = "
id_token",
TokenVal
idationParameters = new Microsoft.
IdentityModel.Tokens.TokenVal
idationParameters
{
Val
idateIssuer = true,
Val
idIssuer = authority
},
Notifications = new Open
IdConnectAuthenticationNotifications
()
}
);
}
}
}
```
#### 4. **保护路由**
在控制器或 Action 上添加 `[Authorize]` 特性：
```csharp
[Authorize]
public class SecureController : Controller
{
// 仅认证用户可访问
public ActionResult Index
()
{
var userName = User.
Identity.Name;
return View
();
}
}
```
#### 5. **
配置 Web.config**
添加以下
配置节：
```xml
<system.web>
<authentication mode="None" /> <!-- 禁用传统认证 -->
</system.web>
<appSettings>
<add key="
ida:Client
Id" value="你的客户端
ID" />
<add key="
ida:Tenant
Id" value="你的租户
ID" />
</appSettings>
```
#### 6. **处理登入/登出**
添加
登录按钮（视图示例）：
```html
@if
(!User.
Identity.IsAuthenticated
)
{
<a href="/Account/Login">使用 Microsoft
Entra ID 登录</a>
}
else
{
<a href="/Account/Logout">注销</a>
}
```
控制器方法：
```csharp
public class AccountController : Controller
{
public vo
id Login
()
{
if
(!Request.IsAuthenticated
)
{
HttpContext.GetOwinContext
().Authentication.Challenge
(
new AuthenticationProperties { RedirectUri = "/" },
Open
IdConnectAuthenticationDefaults.AuthenticationType
);
}
}
public vo
id Logout
()
{
HttpContext.GetOwinContext
().Authentication.SignOut
(
Open
IdConnectAuthenticationDefaults.AuthenticationType,
CookieAuthenticationDefaults.AuthenticationType
);
}
}
```
#### 7. **测试与部署**
- 本地测试：按 F5 启动调试，点击
登录按钮应跳转至 Microsoft
登录页
- 生产部署：
1. 在 Azure 应用注册中更新 **重定向 URI**（如 `https://生产域名/signin-o
idc`）
2. 发布项目到 IIS 服务器
3. 确保服务器时间与 Azure 时间同步
> **注意**：ASP.NET 4.x 使用 OWIN 中间件集成，与 ASP.NET Core 的
配置方式不同[^1][^2]。若需高级功能（如角色授权），需在 Azure 门户
配置 **应用角色** 并在令牌中返回角色声明[^3]。
---
###
扫一扫
127
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
