Office365 Graph で2種類のアクセス許可の仕様にハマった話 #o365jp

by Kazuya Sugimoto

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

© 2018 CData Software Japan, LLC | www.cdata.com/jp 杉本和也：Kazuya Sugimoto CData Software Japan, LLC Lead Engineer Microsoft MVP for Business Applications (Dynamics CRM/365) 普段は仕事でも趣味でもひたすらWeb APIを触っているWeb API Horic 今まで100種類くらいのサービスのWeb APIを見たり触ったりしてる（たぶん） Blog：Morning Girl http://kageura.hatenadiary.jp/ Twitter：@sugimomoto Facebook：sugimomoto

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

© 2018 CData Software Japan, LLC | www.cdata.com/jp Reference を見る https://docs.microsoft.com/ja-jp/graph/api/user-list-events?view=graph-rest-1.0&tabs=http#permissions なるほど。この権限を設定して～ users リソースURLでID指定をすればいいんだな！

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

© 2018 CData Software Japan, LLC | www.cdata.com/jp ポイントは「2種類」のアクセス許可委任されたアクセス許可アプリケーションのアクセス許可明示的なサインインユーザーが存在する場合に利用するアプローチエンドユーザーが利用するスマホアプリ等、サインインユーザーとして動作することが必要なアプリで利用サインインしているユーザーが存在しないアプリで利用するアプローチバックグラウンドサービスやデーモンなどのアプリで利用

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Slide 29

Slide 29 text

Slide 30

Slide 30 text

Slide 31

Slide 31 text

Slide 32

Slide 32 text

© 2018 CData Software Japan, LLC | www.cdata.com/jp ざっくりとアクセス許可を捉える Graph APIのアクセス許可は「リソース：操作：範囲」の3つで捉えるのが個人的におすすめ・リソースは「Event、File」など、どんなデータにアクセスするのか・操作は「Read、Write」など、データに対してどんな処理を行うのか・範囲は「All、Shared、None」など、どの範囲までアクセスするのか ※Allアプリケーションのアクセス許可によって明示的に指定しない場合もある

Slide 33

Slide 33 text

© 2018 CData Software Japan, LLC | www.cdata.com/jp 「リソース：操作：範囲」のイメージリソース Event Directory File Group 操作 Read All All All All Shared Shared Shared Shared None None None None ReadWrite All All All All Shared Shared Shared Shared None None None None どのデータにアクセスするかどの範囲までアクセスするかどんな操作をするか

Slide 34

Slide 34 text

Slide 35

Slide 35 text

Slide 36

Slide 36 text

© 2018 CData Software Japan, LLC | www.cdata.com/jp None（範囲の指定無し）ケース Calendars.Read ユーザーA 予定表ユーザーB 予定表ユーザーC 予定表委任されたアクセス許可アプリケーションのアクセス許可ユーザーD 予定表ユーザーE 予定表 Calendars.Read の場合ログインしているユーザー自身の予定表にしかアクセスできない ☓ ユーザーを特定できないので、アクセスできない

Slide 37

Slide 37 text

© 2018 CData Software Japan, LLC | www.cdata.com/jp Sharedケース Calendars.Read.Shared ユーザーA 予定表ユーザーB 予定表ユーザーC 予定表委任されたアクセス許可アプリケーションのアクセス許可ユーザーD 予定表ユーザーE 予定表 Calendars.Read.Shared の場合、共有されている予定表までアクセスが可能 ※あらかじめ共有してもらう必要あり共有共有 ☓ ユーザーを特定できないので、アクセスできない

Slide 38

Slide 38 text

© 2018 CData Software Japan, LLC | www.cdata.com/jp All ケース Calendars.Read All ユーザーA 予定表ユーザーB 予定表ユーザーC 予定表委任されたアクセス許可アプリケーションのアクセス許可ユーザーD 予定表ユーザーE 予定表アプリケーションアクセス許可で Calendars.Read の場合、共有やユーザーに関係無く、すべての予定にアクセスが可能共有共有 ☓ 委任されたアクセス許可アプリはアプリケーションアクセス許可の権限でアクセスができない。

Slide 39

Slide 39 text

Slide 40

Slide 40 text

Slide 41

Slide 41 text

Slide 42

Slide 42 text

Slide 43

Slide 43 text

Slide 44

Slide 44 text

Slide 45

Slide 45 text

Slide 46

Slide 46 text

Slide 47

Slide 47 text

Slide 48

Slide 48 text

Slide 49

Slide 49 text

Slide 50

Slide 50 text

Slide 51

Slide 51 text

Slide 52

Slide 52 text

Slide 53

Slide 53 text

© 2018 CData Software Japan, LLC | www.cdata.com/jp 1. Authorization URL の作成以下のURLを生成して、ログイン要求を行う。 GET https://login.microsoftonline.com/{tenant}/oauth2/v2.0/authorize? client_id=6731de76-14a6-49ae-97bc-6eba6914391e &response_type=code &redirect_uri=http%3A%2F%2Flocalhost%2Fmyapp%2F &response_mode=query &scope=offline_access%20user.read%20mail.read &state=12345

Slide 54

Slide 54 text

Slide 55

Slide 55 text

© 2018 CData Software Japan, LLC | www.cdata.com/jp 3. Access Token を要求 POST https://login.microsoftonline.com/common/oauth2/v2.0/token Content-Type: application/x-www-form-urlencoded client_id=6731de76-14a6-49ae-97bc-6eba6914391e &scope=user.read%20mail.read &code=OAAABAAAAiL9Kn2Z27UubvWFPbm0gLWQJVzCTE9UkP3pSx1aXxUjq3 n8b2JRLk4OxVXr... &redirect_uri=http%3A%2F%2Flocalhost%2Fmyapp%2F &grant_type=authorization_code &client_secret=JqQX2PNo9bpM0uEihUPzyrh

Slide 56

Slide 56 text

© 2018 CData Software Japan, LLC | www.cdata.com/jp 4. Access Token を取得 { "token_type": "Bearer", "scope": "user.read%20Fmail.read", "expires_in": 3600, "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1d..", "refresh_token": "AwABAAAAvPM1KaPlrEqdFSBzjqfTGAMxZGU..." }

Slide 57

Slide 57 text

Slide 58

Slide 58 text

© 2018 CData Software Japan, LLC | www.cdata.com/jp アプリケーションのアクセス許可は管理者の同意が必要実施方法は2種類ある・Azure AD アプリ画面から管理者の同意を行う方法・Adminconsent エンドポイントで管理者の同意を行う方法 ※補足前者は管理者がAzure ADアプリにログインして行う必要がある。後者はマルチテナント用アプリケーション等が自動的に生成して、要求を取り付けることが可能。

Slide 59

Slide 59 text

Slide 60

Slide 60 text

© 2018 CData Software Japan, LLC | www.cdata.com/jp 1-B. Adminconsent エンドポイントで管理者の同意以下のURLを生成して、ログイン要求を行う。 GET https://login.microsoftonline.com/{tenant}/adminconsent ?client_id=6731de76-14a6-49ae-97bc-6eba6914391e &state=12345 &redirect_uri=https://localhost/myapp/permissions

Slide 61

Slide 61 text

© 2018 CData Software Japan, LLC | www.cdata.com/jp 1-B. Adminconsent エンドポイントで管理者の同意以下のレスポンスを取得 https://localhost/myapp/permissions ?tenant=a8990e1f-ff32-408a-9f8e- 78d3b9139b95&state=12345 &admin_consent=True 「委任されたアクセス許可」であったような Codeは含まれない。「アプリケーションのアクセス許可」の場合、同意と後続のプロセスは独立した形になる。

Slide 62

Slide 62 text

© 2018 CData Software Japan, LLC | www.cdata.com/jp 2. Access Token を要求 POST https://login.microsoftonline.com/{tenant}/oauth2/v2.0/token HTTP/1.1 Host: login.microsoftonline.com Content-Type: application/x-www-form-urlencoded client_id=535fb089-9ff3-47b6-9bfb-4f1264799865 &scope=https%3A%2F%2Fgraph.microsoft.com%2F.default &client_secret=qWgdYAmab0YSkuL1qKv5bPX &grant_type=client_credentials

Slide 63

Slide 63 text

Slide 64

Slide 64 text

© 2018 CData Software Japan, LLC | www.cdata.com/jp 補足：「管理者」とは何か？ Azure AD ロールの「アプリケーション管理者（全体管理者でももちろんOK）」のこと https://docs.microsoft.com/ja-jp/azure/active-directory/users-groups-roles/directory-assign-admin-roles アプリケーション管理者:このロールのユーザーは、エンタープライズアプリケーション、アプリケーション登録、アプリケーションプロキシの設定の全側面を作成して管理できます。さらに、このロールは、委任されたアクセス許可とアプリケーションアクセス許可 (Microsoft Graph と Azure AD Graph を除く) に同意する権限を付与します。このロールに割り当てられたユーザーは、新しいアプリケーション登録またはエンタープライズアプリケーションを作成する際に、所有者として追加されません。

Slide 65

Slide 65 text

Slide 66

Slide 66 text

Slide 67

Slide 67 text

© 2018 CData Software Japan, LLC | www.cdata.com/jp 補足②：PowerApps CDS/Dynamics 365 の場合 https://docs.microsoft.com/ja-jp/powerapps/developer/common-data- service/authenticate-oauth#common-data-service-user-account-bound-to-the- registered-app アプリケーションユーザーを作成することで、 client_credentials が実施可能！（バッチ処理ユーザーとかを別途作らなくて済む。ライセンスも節約できる！）

Slide 68

Slide 68 text

Slide 69

Slide 69 text

Slide 70

Slide 70 text

© 2018 CData Software Japan, LLC | www.cdata.com/jp 「リソース：操作：範囲」を意識して適切なアクセス許可を実施しようリソース Event Directory File Group 操作 Read All All All All Shared Shared Shared Shared None None None None ReadWrite All All All All Shared Shared Shared Shared None None None None どのデータにアクセスするかどの範囲までアクセスするかどんな操作をするか