在 AWS Blu Age 的现代化大型机应用程序中实施基于 Microsoft Entra ID 的身份验证

经过现场测试的相关 Angular 库，这些哭均来自 Microsoft Authentication Library（MSAL）和其他对身份验证实施至关重要的 Microsoft Entra ID 文档。 

使用 OAuth 2.0 启用 Spring Security 需要在 AWS Blu Age 运行时进行配置。

一个库，用于捕获经过身份验证的用户的身份并将其传递给 AWS Blu Age Runtime。

我们建议实施的安全措施。

Microsoft Entra ID 设置中常见问题的排查提示。

由 AWS Blu Age 大型机现代化重构工具制作的现代化应用程序。此模式CardDemo用作开源大型机应用程序的示例。

AWS Blu A OAuth ge 扩展库，由 AWS Blu Age 团队在您使用AWS 专业服务期间提供。

正在 AWS 账户 部署和测试现代化应用程序。

熟悉 AWS Blu Age 配置文件和 Microsoft Entra ID 基础知识。

此模式涵盖了 OAuth 2.0 身份验证和基于令牌的基本授权流程。高级授权场景和精细访问控制机制不在此范围内。

有些 AWS 服务 并非全部可用 AWS 区域。有关区域可用性，请参阅按区域划分的AWS 服务。有关特定端点，请参阅服务端点和配额，然后选择相应服务的链接。

AWS Blu Age Runtime 版本 4.1.0（该模式也适用于向后兼容的更高版本）

MSAL 库版本 3.0.23

Java 开发工具包（JDK）版本 17

Angular 版本 16.1

Microsoft Entra ID

基于 Java Spring Boot 的现代化后端

AWS 蓝光时代运行时间

OAuth 2.0 的春季安全

Angular 单页应用程序（SPA）

AWS 配置安全。将敏感配置值从移application-main.yml至 AWS Secrets Manager。例如，使用 Secrets Manager 配置以下属性：

security:
    oauth2:
      client:
        registration: 
          azure:
            client-id: {clientId}
            client-secret: ${clientSecret}

有关如何使用 Secrets Manager 配置 AWS Blu Age 参数的更多信息，请参阅 AWS Mainframe Modernization 文档中的 AWS Blu Age 运行时密钥。

运行时环境保护。使用适当的 AWS 安全控制来配置现代化的应用程序环境：

server: 
  tomcat: 
    remoteip: 
     protocol-header: X-Forwarded-Proto 
     remote-ip-header: X-Forwarded-For 
  forward-headers-strategy: NATIVE

亚马逊 CloudWatch 日志。考虑添加文件 logback-spring.xml to src/main/resources：

<configuration> 
 <appender name="CLOUDWATCH" class="com.amazonaws.services.logs.logback.CloudWatchAppender">  
   <logGroup>/aws/bluage/application</logGroup> 
   <logStream>${AWS_REGION}-${ENVIRONMENT}</logStream> 
   <layout> 
    <pattern>%d{yyyy-MM-dd HH:mm:ss} [%thread] %-5level %logger{36} - %msg%n</pattern> 
   </layout> 
 </appender> 

 <root level="INFO"> 
 <appender-ref ref="CLOUDWATCH"/> 
 </root> 
</configuration>

有关使用启用跟踪的信息 CloudWatch，请参阅 CloudWatch 文档中的启用跟踪以记录关联。

令牌配置和处理。在 Microsoft Entra ID 中配置令牌生命周期，以符合您的安全要求。将访问令牌设置为 1 小时内到期，将刷新令牌设置为 24 小时内到期。在 AWS Blu Age 运行时配置 (application-main.yml) 中，确保使用您的 Entra ID 应用程序注册中确切的颁发者 URI 和受众值正确配置 JWT 验证。

当令牌到期并刷新时：

有关 AWS Blu Age Runtime 组件及其更新的更多信息，请参阅 AWS Blu Age 发行说明。

AWS Blu Age 运行时安全。 AWS Blu Age 提供的oauth2-ext库必须放置在正确的共享目录位置 ({app-server-home}/shared/) 中，并具有适当的文件权限。 JWTs 通过检查日志中的SharedContext对象群来验证库是否成功地从中提取了用户信息。

具体的声明配置。在 application-main.yml 中，明确定义您需要从 Microsoft Entra ID 中获得的声明。例如，要捕获用户的电子邮件和角色，请指定：

gapwalk-application:
  security:
    claim:
      claims:
        - claimName: upn
          claimMapValue: username
        - claimName: roles
          claimMapValue: userRoles
        - claimName: email
          claimMapValue: userEmail

错误处理。添加错误处理，以处理 Angular 应用程序中的身份验证失败；例如：

@Injectable()
export class AuthErrorInterceptor implements HttpInterceptor {
  intercept(request: HttpRequest<any>, next: HttpHandler): Observable<HttpEvent<any>> {
    return next.handle(request).pipe(
      catchError((error: HttpErrorResponse) => {
        if (error.status === 401) {
          // Handle token expiration
          this.authService.login();
        }
        if (error.status === 403) {
          // Handle unauthorized access
          this.router.navigate(['/unauthorized']);
        }
        return throwError(() => error);
      })
    );
  }
}

会话超时配置。在 AWS Blu Age 运行时和 Microsoft Entra ID 中配置会话超时设置。例如，将以下代码添加到您的 application-main.yml 文件：

server:
  servlet:
    session:
      timeout: 3600 # 1 hour in seconds

MsalGuard。 您必须为所有受保护的路由实现该 MsalGuard 功能，以防止未经授权的访问。例如：

const routes: Routes = [
    { path: '', redirectTo: '/transaction-runner', pathMatch: 'full' },
    { path: 'transaction-runner', component: TransactionRunnerComponent, canActivate:guards },
    { path: 'user-info', component: UserInfoComponent, canActivate:guards },
    { path: 'term/:transid/:commarea', component: TermComponent, canActivate:guards },
	{ path: 'code', component: TransactionRunnerComponent  }
];

没有 MsalGuard 保护的路由无需身份验证即可访问，这可能会暴露敏感功能。确认所有需要身份验证的路由的配置中都已包含防护。

有关使用 AWS Blu Age 重构应用程序的信息，请参阅文档。AWS Mainframe Modernization

要了解 OAuth 2.0 的工作原理，请访问 OAuth 2.0 网站。

有关微软身份验证库（MSAL）的概述，请参阅 Microsoft Entra 文档。

有关 AS/400 系统上用户配置文件的信息，请参阅 IBM i (AS400) 教程。

有关微软身份平台中的 OAuth 2.0 和 OpenID Connect (OIDC) 身份验证流程，请参阅微软 Entra 文档。