Implemente a autenticação baseada no Microsoft Entra ID em um aplicativo de AWS mainframe modernizado da Blue Age

Bibliotecas do Angular relevantes e testadas em campo da Microsoft Authentication Library (MSAL) e outras documentações do Microsoft Entra ID que são essenciais para a implementação da autenticação. 

Configurações necessárias no AWS Blu Age Runtime para habilitar o Spring Security usando OAuth 2.0.

Uma biblioteca que captura as identidades dos usuários autenticados e as passa para o Blu Age Runtime. AWS

Medidas de segurança que recomendamos implementar.

Dicas de solução de problemas comuns com a configuração do Microsoft Entra ID.

Um aplicativo modernizado que foi produzido pelas ferramentas de refatoração de modernização de mainframe da AWS Blu Age. Esse padrão é usado CardDemocomo exemplo de aplicativo de mainframe de código aberto.

A biblioteca de OAuth extensões AWS Blu Age, que é fornecida pela equipe da AWS Blu Age durante sua interação com os AWS Serviços Profissionais.

Um ativo Conta da AWS para implantar e testar o aplicativo modernizado.

Familiaridade com os arquivos de configuração do AWS Blu Age e os fundamentos do Microsoft Entra ID.

Esse padrão abrange a autenticação OAuth 2.0 e os fluxos básicos de autorização baseados em tokens. Cenários avançados de autorização e mecanismos minuciosos de controle de acesso não estão no escopo.

Alguns Serviços da AWS não estão disponíveis em todos Regiões da AWS. Para conferir a disponibilidade de uma região, consulte Serviços da AWS by Region. Para endpoints específicos, consulte Service endpoints and quotas e clique no link correspondente ao serviço desejado.

AWS Blu Age Runtime versão 4.1.0 (o padrão também funciona com versões posteriores que são compatíveis com versões anteriores)

Biblioteca MSAL versão 3.0.23

Java Development Kit (JDK) versão 17

Angular versão 16.1

Microsoft Entra ID

Backend modernizado baseado em Java Spring Boot

AWS Tempo de execução do Blu Age

Spring Security com OAuth 2.0

Aplicação de página única (SPA) do Angular

AWS segurança de configuração.Mova valores de configuração confidenciais de application-main.yml para AWS Secrets Manager. Por exemplo, configure as seguintes propriedades usando o Secrets Manager:

security:
    oauth2:
      client:
        registration: 
          azure:
            client-id: {clientId}
            client-secret: ${clientSecret}

Para obter mais informações sobre como você pode usar o Secrets Manager para configurar os parâmetros do AWS Blu Age, consulte segredos do AWS Blu Age Runtime na AWS Mainframe Modernization documentação.

Proteção do ambiente de runtime. Configure o ambiente de aplicativos modernizado com controles AWS de segurança adequados:

server: 
  tomcat: 
    remoteip: 
     protocol-header: X-Forwarded-Proto 
     remote-ip-header: X-Forwarded-For 
  forward-headers-strategy: NATIVE

CloudWatch Registro na Amazon. Considere adicionar o arquivo logback-spring.xml to src/main/resources:

<configuration> 
 <appender name="CLOUDWATCH" class="com.amazonaws.services.logs.logback.CloudWatchAppender">  
   <logGroup>/aws/bluage/application</logGroup> 
   <logStream>${AWS_REGION}-${ENVIRONMENT}</logStream> 
   <layout> 
    <pattern>%d{yyyy-MM-dd HH:mm:ss} [%thread] %-5level %logger{36} - %msg%n</pattern> 
   </layout> 
 </appender> 

 <root level="INFO"> 
 <appender-ref ref="CLOUDWATCH"/> 
 </root> 
</configuration>

Para obter informações sobre como ativar o rastreamento com CloudWatch, consulte Habilitar rastreamento para registrar a correlação na CloudWatch documentação.

Configuração e tratamento de tokens. Configure a vida útil dos tokens no Microsoft Entra ID para se alinhar aos seus requisitos de segurança. Configure os tokens de acesso para expirar em uma hora e os tokens de atualização para expirar em 24 horas. Na configuração do AWS Blu Age Runtime (application-main.yml), certifique-se de que a validação do JWT esteja configurada corretamente com o URI exato do emissor e os valores de público do registro do aplicativo Entra ID.

Quando um token expira e é atualizado:

Para obter mais informações sobre os componentes do AWS Blu Age Runtime e suas atualizações, consulte as notas de lançamento do AWS Blu Age.

Segurança do AWS Blu Age Runtime. A oauth2-ext biblioteca fornecida pelo AWS Blu Age deve ser colocada no local correto do diretório compartilhado ({app-server-home}/shared/) com as permissões de arquivo adequadas. Verifique se a biblioteca extrai com êxito as informações do usuário JWTs verificando a população de SharedContext objetos em seus registros.

Configuração específica de declarações. Em application-main.yml, defina explicitamente as declarações que você precisa do Microsoft Entra ID. Por exemplo, para capturar o e-mail e os perfis dos usuários, especifique:

gapwalk-application:
  security:
    claim:
      claims:
        - claimName: upn
          claimMapValue: username
        - claimName: roles
          claimMapValue: userRoles
        - claimName: email
          claimMapValue: userEmail

Tratamento de erros. Adicione tratamento de erros para solucionar falhas de autenticação em sua aplicação Angular; por exemplo:

@Injectable()
export class AuthErrorInterceptor implements HttpInterceptor {
  intercept(request: HttpRequest<any>, next: HttpHandler): Observable<HttpEvent<any>> {
    return next.handle(request).pipe(
      catchError((error: HttpErrorResponse) => {
        if (error.status === 401) {
          // Handle token expiration
          this.authService.login();
        }
        if (error.status === 403) {
          // Handle unauthorized access
          this.router.navigate(['/unauthorized']);
        }
        return throwError(() => error);
      })
    );
  }
}

Configuração do tempo limite de sessões. Defina as configurações de tempo limite da sessão no AWS Blu Age Runtime e no Microsoft Entra ID. Por exemplo, adicione o seguinte código ao arquivo application-main.yml:

server:
  servlet:
    session:
      timeout: 3600 # 1 hour in seconds

MsalGuard. Você deve implementar o MsalGuard recurso em todas as rotas protegidas para impedir o acesso não autorizado. Por exemplo:

const routes: Routes = [
    { path: '', redirectTo: '/transaction-runner', pathMatch: 'full' },
    { path: 'transaction-runner', component: TransactionRunnerComponent, canActivate:guards },
    { path: 'user-info', component: UserInfoComponent, canActivate:guards },
    { path: 'term/:transid/:commarea', component: TermComponent, canActivate:guards },
	{ path: 'code', component: TransactionRunnerComponent  }
];

As rotas que não têm MsalGuard proteção estarão acessíveis sem autenticação, potencialmente expondo funcionalidades confidenciais. Certifique-se de que todas as rotas que exigem autenticação incluam os protetores em suas configurações.

Para obter informações sobre como refatorar seu aplicativo usando o AWS Blu Age, consulte a documentação.AWS Mainframe Modernization

Para entender como o OAuth 2.0 funciona, consulte o site OAuth 2.0.

Para obter uma visão geral da Microsoft Authentication Library (MSAL), consulte a documentação do Microsoft Entra.

Para obter informações sobre perfis de usuário em um sistema AS/400, consulte o tutorial do IBM i (AS400).

Para o fluxo de autenticação OAuth 2.0 e OpenID Connect (OIDC) na plataforma de identidade da Microsoft, consulte a documentação do Microsoft Entra.