Contenido del curso
Tokens en Azure Active Directory: Tipos y Uso Práctico
¿Qué son los tokens en Azure Active Directory?
En el mundo de la informática, la gestión de identidad y acceso es esencial. Azure Active Directory juega un papel crucial en este ámbito utilizando tokens, que son cadenas de caracteres significativas para ciertos lenguajes de programación. En este artículo, exploraremos cómo Azure Active Directory emplea estos tokens para garantizar autenticación y autorización seguras.
¿Cuáles son los diferentes tipos de tokens?
Azure Active Directory utiliza principalmente tres tipos de tokens que son fundamentales en los procesos de autenticación y autorización:
Token de ID: Se utiliza para identificar al usuario. Este token se emite después de la autenticación mediante OpenID Connect y garantiza que el usuario es quien dice ser.
Token de acceso: Permite a las aplicaciones acceder a recursos protegidos. Al realizar una autenticación, el protocolo OAuth 2.0 emite este token, el cual debe incluirse en los encabezados de solicitudes HTTP para autorizar el acceso.
Token de actualización: Facilita la renovación del token de acceso sin que el usuario tenga que iniciar sesión repetidamente. Esto es particularmente útil para mantener sesiones activas sin interrupciones.
¿Cómo se validan los tokens de seguridad?
La validación de tokens de seguridad es crucial para asegurar que no han sido alterados. El proceso implica:
Comprobación de la firma: La aplicación receptora valida la firma del token usando una llave pública y privada. Esto asegura que el token es genuino y no ha sido modificado.
Descomposición y validación: Los tokens son cadenas de texto que, una vez codificadas, se pueden descomponer para inspeccionar los claims. Estos claims incluyen información crítica como el ID del usuario, el tenant asociado, y la aplicación solicitante.
¿Cómo se utilizan los JSON Web Tokens (JWT)?
En Azure Active Directory se utiliza mucho el formato JSON Web Tokens (JWT). Este formato es ampliamente reconocido por su estructura estándar y la capacidad de incluir claims:
Para descomponer un JWT y acceder a estos claims, se requiere decodificar la cadena de texto, permitiendo validar y manipular la información de forma segura.
¿Cómo generar un token desde Azure Active Directory B2C?
La generación de tokens en Azure AD B2C es parte del proceso de configurar aplicaciones para gestionar identidades de consumidores:
Configuración de la aplicación: Se debe asociar una aplicación con un flujo de usuario (UserFlow) específico para identificar qué sucede al emitirse un token, ya sea hacia una URL de éxito o manejar un posible error.
Uso de JWT.ms: Durante la etapa de desarrollo, herramientas como JWT.ms permiten acceder a las notificaciones o claims de los tokens, facilitando la depuración y comprensión del flujo de datos.
Solicitudes de tokens: Se realizan utilizando UserFlows y deben especificar correctamente los alcances o la autorización requerida.
Ejemplo práctico en Azure AD B2C
Supongamos que tienes una aplicación "demoApp" con un client ID específico. Puedes configurar un UserFlow para que, una vez autenticado el usuario, se emita un ID token. Este flujo indica hacia qué URL responder en caso de éxito o error, y permite inspeccionar y trabajar con los claims asociados de forma efectiva.
Con este conocimiento sobre tokens, su validación y uso en Azure AD B2C, estás preparado para gestionar identidades de manera segura y eficiente en tus aplicaciones. ¡Continúa explorando y profundizando en el tema para mejorar tus habilidades en gestión de identidad y acceso!
Eduardo Alan Gonzalez Garduño
Estudiante
Fernando Sánchez Mejía
Estudiante
Luis Miguel Daraviña Henao
Estudiante
Julian Arias
Estudiante
Alberto Gurrion
Estudiante
Nelson Sebastian Galeano Aranda
EstudianteFernando Sánchez Mejía
Estudiante
Daniel Guerrero
EstudianteFernando Sánchez Mejía
EstudianteFernando Sánchez Mejía
EstudianteFernando Sánchez Mejía
EstudianteFernando Sánchez Mejía
EstudianteFernando Sánchez Mejía
EstudianteFernando Sánchez Mejía
EstudianteFernando Sánchez Mejía
EstudianteFernando Sánchez Mejía
EstudianteFernando Sánchez Mejía
EstudianteFernando Sánchez Mejía
EstudianteFernando Sánchez Mejía
EstudianteFernando Sánchez Mejía
EstudianteFernando Sánchez Mejía
EstudianteFernando Sánchez Mejía
EstudianteTokens
Un token en informática es una cadena de caracteres que tienen un significado coherente en cierto lenguaje de programación.
Tokens de ID
• Los tokens de Id de envían a la aplicación cliente como parte de un flujo de OpenID Connect. Este tipo de token sirve para autenticar al usuario a validar que un usuario es quien dice ser.
Token de Acceso:
• Es un token de seguridad emitido por un servidor de autorización como parte de un flujo de OAuth 2.0, incluye información sobre el usuario y el recurso para el que está previsto el token.
Token de actualización:
• Los tokens de acceso solo son validos durante un breve periodo de tiempo, utiliza tokens de actualización en la aplicación cuando sea necesario.
Validación de tokens de seguridad.
• La validación del token la realiza la aplicación para la cual fue generada. Esto ocurre al comprobar la firma generada utilizando la llave pública del servidor de autorización. • Normalmente el servidor de autorización proporciona un par de tokens o Token de acceso para acceder a la aplicación o al recurso protegido. o Token de actualización, se utiliza para renovar el token de acceso cuando esta a punto de expirar.
Instancias de JSON WEB Token y Notificaciones:
• La plataforma de identidad de Microsoft implementa los tokens de seguridad como instancias de JSON Web Tokens (JWT) que incluyen notificaciones. • Una notificación proporciona aserciones sobre una entidad, como aplicación cliente o el propietario de recursos a otra entidad. • Las notificaciones son pares de nombres o valores que se transmiten datos sobre el firmante del token. • Las aplicaciones puedes usar las notificaciones para tareas como: o Validar token o Identificar el inquilino firmante del token o Mostrar información del usuario o Determinar la autorización del firmante
Una notificación se compone de pares clave-valor que proporcionan información como:
• El servidor de tokens de seguridad que genero el token • La fecha en que se generó el token • El firmante • La audiencia, que es la aplicación para la cual se generó el token • La aplicación (Cliente) que solicito el token.
Nuevamente gracias por el resumen.
eres el crack de este curso con tus resumenes mil gracias
Es muy raro usar el termino notificaciones para hablar de los claims, no he oído a nadie usar ese término, es más la traducción literal de claims ni siquiera es notificaciones
De acuerdo un claim se "traduce" como privilegio.
jajajaj, tenés razón man, lo que pasa es que el profe está leyendo literal lo que dice la documentación de Microsoft, como ahí está mal la traducción, el profe también lo dice mal, notificación está mal, no es que sea un término raro, directamente está mal... Saludos
Con token JWT podemos obtener:
## ¿Qué son los tokens en Microsoft Entra ID?
- Los tokens no autentican por si mismos. Son resultado de un proceso de autenticación y se usan para autorizar accesos.
- Los tokens son credenciales temporales, firmadas digitalmente, que representan la identidad y los permisos de un usuario o aplicación.
En la gestión moderna de identidad y acceso, Microsoft Entra ID utiliza tokens como mecanismos seguros y estandarizados para representar la identidad de un usuario o aplicación y los permisos otorgados.
Estos tokens, generalmente en formato JWT (JSON Web Token), son emitidos tras un proceso de autenticación basado en protocolos como el de OpenID Connect u OAuth 2.0, y contienen claims que describen quien es el usuario y a que recursos puede acceder.
Gracias al uso de tokens, las aplicaciones pueden validar identidades y autorizar accesos sin necesidad de manejar credenciales directamente, mejorando la seguridad y la escalabilidad de los sistemas.
- Nos son cadenas de caracteres significativas para ciertos lenguajes. No dependen del lenguaje de programación.
- Son artefactos de seguridad estandarizados.
- Usualmente son JWT (Json Web Tokens).
- Un token es entendible por cualquier plataforma que implemente el estándar.
- Son credenciales temporales emitidas por un proveedor de identidad, firmadas digitalmente, que contienen claims.
**Tipos Principales**
- ID Token --> Identidad del usuario.
- Access Token --> Permisos de Acceso.
- Refresh Token --> Renovación (Para evitar reinicios de sesión).
### ¿Cómo se validan los tokens de seguridad y los tokens JWT ?
La validación de tokens de seguridad es un proceso esencial para garantizar que un token es auténtico, no ha sido alterado y sigue siendo válido. Este proceso incluye:
- **Comprobación de la firma**: La aplicación receptora valida la firma del token usando la clave pública del proveedor de identidad (por Ejemplo, Microsoft Entra ID). Permitiendo verificar que el token fue emitido por una autoridad confiable y no fue modificado.
- **Validación de claims:** Una vez validad la firma, la aplicación inspecciona los claims contenidos en el token, como el identificador del usuario, el tenant, la audiencia, el emisor y la fecha de expiración, para asegurarse de que el token es válido para el contexto de uso.
Como se utilizan los JSON Web Tokens (JWT):
Microsoft Entra ID utiliza ampliamente el formato JSON Web Token (JWT) debido a su estructura estándar y su compatibilidad con protocolos modernos como OAuth 2.0. y OpenID Connect.
-Claims: Son pares claves-valor que describen la identidad del usuario o aplicación, y los permisos otorgados debido a ello. Estos claims permiten a las aplicaciones tomar decisiones de autenticación y autorización sin necesidad de manejar credenciales directamente.
- Un JWT puede decodificarse para leerse. Pero solo es confiable después de validar su firma, emisor, audiencia y expiración.
- La seguridad de un token JWT no está en ocultar su contenido, sino en la validación criptográfica de su firma y claims.
### ¿Cómo se emiten tokens en Microsoft Entra External ID?
Entra External ID emite tokens como resultado de flujos de autenticación basados en OAuth 2.0 y OpenID Connect.
Las aplicaciones no generan tokens en Entra External ID; los solicitan. Los tokens se emiten automáticamente por el proveedor de identidad al completar un flujo de autenticación.
- **Registro y configuración de la aplicación:**
La aplicación debe registrarse en el tenant de Entra External ID, definiendo sus URLs de redirección y permisos. Posteriormente, se habilita el uso de uno o más flujos de usuario (User Flows) que determinan cómo se autentican los usuarios.
- **Flujos de usuario (User Flows):**
Los User Flows definen la experiencia de inicio de sesión, registro y recuperación de cuenta. Al completarse exitosamente un flujo, Entra External ID emite los tokens correspondientes (ID token y, opcionalmente, access token) para la aplicación.
- **Solicitudes de tokens:**
Las aplicaciones solicitan tokens utilizando protocolos estándar como **OpenID Connect y OAuth 2.0**, especificando los scopes o permisos requeridos. El User Flow controla el comportamiento del endpoint de autenticación.
- **Inspección de tokens:**
Durante el desarrollo, herramientas como **jwt.ms** permiten decodificar e inspeccionar los claims contenidos en los tokens, facilitando la comprensión y depuración del flujo de identidad.
**Ejemplo práctico**
Supongamos una aplicación llamada **demoApp** registrada en Entra External ID. Al iniciar sesión, el usuario es redirigido a un User Flow configurado. Una vez autenticado, el servicio emite un **ID token** firmado digitalmente y redirige al usuario a una URL previamente registrada, donde la aplicación puede validar el token y utilizar los claims para controlar el acceso.
¿Como se validan los tokens de seguridad? La aplicación que recibe el token hace una comprobación con la firma que recibe el token y los compara con las llave privada y publica, para asegurarse de que el token no fue alterado.
Normalmente el servidor de autorización combina el siguiente par de tokens:
Notificaciones son pares de clave-valor que proprocionan información de como:
Las aplicaciones usan los tokens para:
Normalmente el servidor de autorización combina el siguiente par de tokens:
Notificaciones: Aserciones sobre la entiedad, como la aplicación cliente o el propietario de recursos a otra entidad.
JWT: JSON Web Tokens enviamos notificaciones
Recuerdo donde trabajaba para hacer uso de una VPN, primero ingresaba mis credenciales, luego tenia el doble factor de autenticación con un mensaje en mi celular. Dentro de alguna aplicación de la empresa la primera vez que ingresaba daba mis credenciales y luego el token, pasado un tiempo si la sesión expiraba, solo tenia que volver a ingresar ya sin dar mis credenciales solo daba el token que se mando a mi celular.
Cuando menciona la llave publica y privada, me recordo el blockchain.
El token es una cadena de texto, que se puede copiar en un bloc de notas
Tokens de actualización. Los token tienen una validez durante un breve periodo de tiempo, esta vigencia se aplica de aucerdo a la política. Sirven para identificar la frecuenca de renovación del token de autenticación. Si no se usura el usuario tendria que que volver a iniciar sesión manualmente, cada que el token de acceso expire.
Token de acceso. Hace una petición a la aplicación protegida por AD. Incluye información sobre el usuario y el recurso para el que esta previsto el token.
Token ID, identificiar que el usuario es quien dice ser.
Token: Cadena de cracteres que tiene cierto significado para cierto lenguaje de programación.
