Integra l'accesso a Microsoft 365 nelle app Web Flask

Integra l'accesso a Microsoft 365 nelle app Web Flask
Integra l'accesso a Microsoft 365 nelle app Web Flask
Gerald Girard
Venerdì 10 maggio 2024 00:28:52

Configurazione dell'autenticazione di Microsoft 365

Quando si sviluppano applicazioni Web per scopi didattici, l'integrazione di risorse istituzionali come la posta elettronica di Microsoft 365 può migliorare l'esperienza dell'utente e semplificare i processi di accesso. Questa integrazione è particolarmente utile quando le applicazioni devono allinearsi alle politiche IT dell'università, che potrebbero limitare la creazione di applicazioni con credenziali universitarie.

In questo scenario, utilizzare un account Microsoft Azure personale per configurare l'applicazione è una soluzione pratica. Tuttavia, possono sorgere problemi, come problemi con le restrizioni degli inquilini quando si tenta di accedere con un'e-mail universitaria. Ciò richiede una strategia per gestire gli account utente tra diversi tenant senza compromettere la funzionalità o la sicurezza dell'app.

Comando Descrizione
oauth.remote_app() Inizializza una nuova istanza dell'applicazione remota per OAuth; viene utilizzato per gestire la comunicazione con i provider OAuth.
flask_oauthlib.client.OAuth Un'estensione Flask per l'integrazione dei fornitori di servizi OAuth, semplificando l'autenticazione tramite i protocolli OAuth.
authorized_response() Parte di Flask-OAuthlib, questo metodo recupera la risposta OAuth autorizzata dalla funzione di callback.
session['oauth_token'] Utilizzato per archiviare il token OAuth nella sessione per un accesso successivo, fondamentale per la gestione delle sessioni utente e dello stato di autenticazione.
microsoft.authorize() Un metodo che reindirizza all'URL di autorizzazione del provider OAuth dove l'utente può autorizzare l'app.
url_for() Una funzione helper in Flask che genera un endpoint per una determinata funzione di visualizzazione. È utile per generare URL per i reindirizzamenti.

Spiegazione dell'integrazione di Flask con l'autenticazione di Microsoft 365

Gli script frontend e backend facilitano insieme l'integrazione dell'accesso a Microsoft 365 in un'applicazione Web Flask. Sul frontend, una semplice pagina HTML presenta un pulsante che, se cliccato, attiva una funzione JavaScript per reindirizzare l'utente al backend per l'autenticazione. Questo processo inizia con il loginWithMicrosoft() funzione, che altera la posizione della finestra nel percorso di backend gestito da Flask. Lo script backend utilizza Flask E Flask-OAuthlib per gestire il flusso OAuth con la piattaforma di identità di Microsoft.

Nel backend, il oauth.remote_app() Il comando configura una connessione con gli endpoint OAuth di Microsoft utilizzando le credenziali dell'applicazione. IL microsoft.authorize() la funzione avvia il processo di autenticazione reindirizzando l'utente alla pagina di autorizzazione di Microsoft. Dopo che l'utente ha effettuato l'accesso e ha concesso le autorizzazioni necessarie, il provider OAuth li rimanda all'applicazione utilizzando l'URL di richiamata specificato in url_for('authorized'). IL authorized_response() Il metodo elabora questo callback, recuperando il token di accesso necessario per confermare l'autenticazione e mantenere la sessione dell'utente.

Interfaccia di autenticazione Microsoft 365 front-end

HTML e JavaScript utilizzati per il frontend

<html>
<head>
<title>Login with Microsoft</title>
</head>
<body>
<button onclick="loginWithMicrosoft()">Sign In with Microsoft</button>
<script>
function loginWithMicrosoft() {
    window.location.href = '/auth/microsoft';
}
</script>
</body>
</html>

Flusso di autenticazione back-end con Microsoft 365

Python e Flask utilizzati per il backend

from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
import os

app = Flask(__name__)
app.secret_key = 'development'
oauth = OAuth(app)

microsoft = oauth.remote_app(
    'microsoft',
    consumer_key='YOUR_APP_ID',
    consumer_secret='YOUR_APP_SECRET',
    request_token_params={'scope': 'User.Read'}
    base_url='https://graph.microsoft.com/v1.0/',
    request_token_url=None,
    access_token_method='POST',
    access_token_url='https://login.microsoftonline.com/common/oauth2/v2.0/token',
    authorize_url='https://login.microsoftonline.com/common/oauth2/v2.0/authorize'
)

@app.route('/')
def index():
    return '<h1>Welcome to the Flask App</h1>' + '<a href="/login">Login with Microsoft</a>'

@app.route('/login')
def login():
    return microsoft.authorize(callback=url_for('authorized', _external=True))

@app.route('/login/authorized')
def authorized():
    response = microsoft.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access denied: reason={0} error={1}'.format(
            request.args['error'], request.args['error_description'])
    session['oauth_token'] = (response['access_token'], '')
    return 'Logged in as id={0}'.format(session['oauth_token'])

@microsoft.tokengetter
def get_microsoft_oauth_token():
    return session.get('oauth_token')

if __name__ == '__main__':
    app.run(debug=True)

Configurazione avanzata per l'autenticazione di Microsoft 365 in Flask

Per affrontare il problema dell'integrazione dell'accesso a Microsoft 365 senza utilizzare una posta elettronica gestita dall'università, è essenziale comprendere il concetto di applicazioni multi-tenant in Azure. Un'applicazione multi-tenant consente agli utenti di più tenant di Azure AD di accedere all'app, il che è ideale per le impostazioni universitarie in cui gli studenti possono avere e-mail di dominio diverse. Questa configurazione richiede la configurazione dell'applicazione Azure per accettare gli accessi da qualsiasi tenant di Azure AD, operazione eseguita impostando "signInAudience" nel manifesto dell'applicazione su "AzureADMultipleOrgs".

Questa modifica alla configurazione consente agli studenti di utilizzare la propria posta elettronica universitaria, anche se l'applicazione era stata inizialmente creata con una posta elettronica personale. Semplifica inoltre la gestione poiché lo sviluppatore non deve aggiungere individualmente ciascun utente al tenant. Questo approccio sfrutta la flessibilità dei servizi di gestione delle identità di Azure per garantire una più ampia accessibilità e un'integrazione perfetta nelle applicazioni didattiche.

Domande comuni sull'integrazione di Microsoft 365 nelle app Flask

  1. Cos'è l'autenticazione multi-tenant di Azure AD?
  2. L'autenticazione multi-tenant di Azure AD consente alle applicazioni di servire gli utenti di più tenant di Azure AD, non solo quello in cui è stata registrata l'applicazione.
  3. Come posso configurare la mia app Flask per il multi-tenant di Azure?
  4. È necessario modificare la registrazione dell'applicazione in Azure per accettare gli accessi da qualsiasi tenant di Azure AD impostando "signInAudience" nel manifesto.
  5. Quali sono i vantaggi dell'utilizzo oauth.remote_app() nel pallone?
  6. Questa funzione semplifica la connessione ai provider OAuth gestendo il flusso OAuth, inclusi il recupero e l'archiviazione dei token.
  7. Perché un utente potrebbe ricevere un errore che indica che il proprio account non esiste nel tenant?
  8. Ciò si verifica solitamente se l'applicazione non è configurata per l'accesso multi-tenant o se l'utente non è registrato come utente esterno nel tenant.
  9. Come posso gestire gli errori durante il processo di autenticazione in Flask?
  10. Implementare la gestione degli errori nel file authorized_response() funzione per rilevare e rispondere a errori come accessi negati o token mancanti.

Considerazioni finali sull'integrazione dell'autenticazione di Microsoft 365

In conclusione, integrare il login Microsoft 365 nelle applicazioni Flask senza utilizzare la posta elettronica universitaria implica impostare un'applicazione Azure con credenziali personali e configurarla per l'accesso multi-tenant. Questo approccio non solo elude le restrizioni che le università potrebbero imporre sull'utilizzo delle e-mail ufficiali per la creazione delle applicazioni, ma semplifica anche il processo di accesso per gli utenti di diversi tenant. Seguendo le best practice per OAuth e gestendo i potenziali errori in modo efficace, gli sviluppatori possono fornire un'esperienza utente fluida e sicura.