Интеграция с Microsoft Entra ID

Общая информация

• Пользователь пытается получить доступ к ресурсу (приложение в Entra ID) с помощью первого фактора Entra ID.
• Проверка первого фактора Entr’ой.
• В случае успешного прохождения первого фактора пользователь попадает на страницу выбора EAM для прохождения второго фактора.
• Пользователь выбирает EAM.
• Entra ID делает POST запрос в выбранный EAM по адресу из поля authorization_endpoint из конфигурации {host}/.well-known/openid-configuratin . Ссылка в на конфигурацию задается как Discovery Endpoint при создании EAM и может отличаться
• EAM при получении запроса проводить все необходимы, по его мнению, проверки и производит POST redirect по адресу redirect_uri из запроса Entra.
• Entra ID валидирует ответ EAM и выносит решение о допуске пользователя к ресурсу.
• Схема работы:

Видео-презентация

Настройка ресурса и EAM

1. Пользователь создает приложение или уже имеет приложение в Entra ID.
2. Пользователь в регистрирует ресурс Microsoft Entra ID в админ панели мультифактор в разделе ресурсы, обязательно заполняя поля Application ID(guid созданного/существующего приложения), Tenant ID(guid аккаунта) и User access URL.

3. Указать в качестве Client ID значение из поля API Key из ресурса (rs_00000…).

4. В поле App ID указывается Application ID необходимого приложения.
5. В поле Discovery Endpoint указывается .well-known/openid-configuration от Multifactor.
6. Пользователь должен настроить все необходимы политики, группы пользователь и тд как ему нужно
7. Активировать EAM.

Использование Multifactor, как EAM для Entra ID

1. Запрос от Entra ID обрабатывает endpoint’ом /oidc в классе EntraController.
2. На основе поля client_id из запроса находится ресурс Multifactor.
3. Класс EntraService проводит валидацию реквеста.
   • Проверка валидности redirect_uri: есть список допустимых значений.
   • Проверка issuer в id_token_hint: формат должен соответствовать https://login.microsoftonline.com/{tenantid}/v2.0.
   • Claim aud должен соответствовать ApplicationId в ресурсе.
   • Claim sub должен существовать(значение создает Entra ID).
   • Claim preferred_username должен существовать и быть равен Identity пользователя в базе Multifactor.
4. Создается OIDC сессия в базе Multifactor.
5. Создается и отправляется 2FA request указанному пользователю.
6. Проиcходит redirect на access страницу.
7. Пользователь подтверждает второй фактор.
8. Происходит отправки запроса на endpoint oidc/entra/{apiKey}/mfa в EntraController с параметрами apiKey и accessToken Multifactor.
9. Производится валидация apiKey и accessToken .
10. Обновляется OIDC сессия.
11. Создается ответ для Entra ID в EntraService.
    • Создается JWT id_token согласно требованиям Entra ID.
    • Передается параметр state из инициализирующего запроса Entra ID.
12. Производится POST redirect с помощью html формы.
13. Entra ID производит валидацию оправленного id_token с помощью .well-known/openid-configuration от Multifactor и допускает/не допускает пользователя.