Tokens en Azure Active Directory: Tipos y Uso Práctico
Contenido del curso
Eduardo Alan Gonzalez Garduño
Fernando Sánchez Mejía
Luis Miguel Daraviña Henao
Julian Arias
Alberto Gurrion
Nelson Sebastian Galeano Aranda
Fernando Sánchez Mejía
Daniel Guerrero
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Tokens
Un token en informática es una cadena de caracteres que tienen un significado coherente en cierto lenguaje de programación.
Tokens de ID
• Los tokens de Id de envían a la aplicación cliente como parte de un flujo de OpenID Connect. Este tipo de token sirve para autenticar al usuario a validar que un usuario es quien dice ser.
Token de Acceso:
• Es un token de seguridad emitido por un servidor de autorización como parte de un flujo de OAuth 2.0, incluye información sobre el usuario y el recurso para el que está previsto el token.
Token de actualización:
• Los tokens de acceso solo son validos durante un breve periodo de tiempo, utiliza tokens de actualización en la aplicación cuando sea necesario.
Validación de tokens de seguridad.
• La validación del token la realiza la aplicación para la cual fue generada. Esto ocurre al comprobar la firma generada utilizando la llave pública del servidor de autorización. • Normalmente el servidor de autorización proporciona un par de tokens o Token de acceso para acceder a la aplicación o al recurso protegido. o Token de actualización, se utiliza para renovar el token de acceso cuando esta a punto de expirar.
Instancias de JSON WEB Token y Notificaciones:
• La plataforma de identidad de Microsoft implementa los tokens de seguridad como instancias de JSON Web Tokens (JWT) que incluyen notificaciones. • Una notificación proporciona aserciones sobre una entidad, como aplicación cliente o el propietario de recursos a otra entidad. • Las notificaciones son pares de nombres o valores que se transmiten datos sobre el firmante del token. • Las aplicaciones puedes usar las notificaciones para tareas como: o Validar token o Identificar el inquilino firmante del token o Mostrar información del usuario o Determinar la autorización del firmante
Una notificación se compone de pares clave-valor que proporcionan información como:
• El servidor de tokens de seguridad que genero el token • La fecha en que se generó el token • El firmante • La audiencia, que es la aplicación para la cual se generó el token • La aplicación (Cliente) que solicito el token.
Nuevamente gracias por el resumen.
eres el crack de este curso con tus resumenes mil gracias
Es muy raro usar el termino notificaciones para hablar de los claims, no he oído a nadie usar ese término, es más la traducción literal de claims ni siquiera es notificaciones
De acuerdo un claim se "traduce" como privilegio.
jajajaj, tenés razón man, lo que pasa es que el profe está leyendo literal lo que dice la documentación de Microsoft, como ahí está mal la traducción, el profe también lo dice mal, notificación está mal, no es que sea un término raro, directamente está mal... Saludos
Con token JWT podemos obtener:
## ¿Qué son los tokens en Microsoft Entra ID?
- Los tokens no autentican por si mismos. Son resultado de un proceso de autenticación y se usan para autorizar accesos.
- Los tokens son credenciales temporales, firmadas digitalmente, que representan la identidad y los permisos de un usuario o aplicación.
En la gestión moderna de identidad y acceso, Microsoft Entra ID utiliza tokens como mecanismos seguros y estandarizados para representar la identidad de un usuario o aplicación y los permisos otorgados.
Estos tokens, generalmente en formato JWT (JSON Web Token), son emitidos tras un proceso de autenticación basado en protocolos como el de OpenID Connect u OAuth 2.0, y contienen claims que describen quien es el usuario y a que recursos puede acceder.
Gracias al uso de tokens, las aplicaciones pueden validar identidades y autorizar accesos sin necesidad de manejar credenciales directamente, mejorando la seguridad y la escalabilidad de los sistemas.
- Nos son cadenas de caracteres significativas para ciertos lenguajes. No dependen del lenguaje de programación.
- Son artefactos de seguridad estandarizados.
- Usualmente son JWT (Json Web Tokens).
- Un token es entendible por cualquier plataforma que implemente el estándar.
- Son credenciales temporales emitidas por un proveedor de identidad, firmadas digitalmente, que contienen claims.
**Tipos Principales**
- ID Token --> Identidad del usuario.
- Access Token --> Permisos de Acceso.
- Refresh Token --> Renovación (Para evitar reinicios de sesión).
### ¿Cómo se validan los tokens de seguridad y los tokens JWT ?
La validación de tokens de seguridad es un proceso esencial para garantizar que un token es auténtico, no ha sido alterado y sigue siendo válido. Este proceso incluye:
- **Comprobación de la firma**: La aplicación receptora valida la firma del token usando la clave pública del proveedor de identidad (por Ejemplo, Microsoft Entra ID). Permitiendo verificar que el token fue emitido por una autoridad confiable y no fue modificado.
- **Validación de claims:** Una vez validad la firma, la aplicación inspecciona los claims contenidos en el token, como el identificador del usuario, el tenant, la audiencia, el emisor y la fecha de expiración, para asegurarse de que el token es válido para el contexto de uso.
Como se utilizan los JSON Web Tokens (JWT):
Microsoft Entra ID utiliza ampliamente el formato JSON Web Token (JWT) debido a su estructura estándar y su compatibilidad con protocolos modernos como OAuth 2.0. y OpenID Connect.
-Claims: Son pares claves-valor que describen la identidad del usuario o aplicación, y los permisos otorgados debido a ello. Estos claims permiten a las aplicaciones tomar decisiones de autenticación y autorización sin necesidad de manejar credenciales directamente.
- Un JWT puede decodificarse para leerse. Pero solo es confiable después de validar su firma, emisor, audiencia y expiración.
- La seguridad de un token JWT no está en ocultar su contenido, sino en la validación criptográfica de su firma y claims.
### ¿Cómo se emiten tokens en Microsoft Entra External ID?
Entra External ID emite tokens como resultado de flujos de autenticación basados en OAuth 2.0 y OpenID Connect.
Las aplicaciones no generan tokens en Entra External ID; los solicitan. Los tokens se emiten automáticamente por el proveedor de identidad al completar un flujo de autenticación.
- **Registro y configuración de la aplicación:**
La aplicación debe registrarse en el tenant de Entra External ID, definiendo sus URLs de redirección y permisos. Posteriormente, se habilita el uso de uno o más flujos de usuario (User Flows) que determinan cómo se autentican los usuarios.
- **Flujos de usuario (User Flows):**
Los User Flows definen la experiencia de inicio de sesión, registro y recuperación de cuenta. Al completarse exitosamente un flujo, Entra External ID emite los tokens correspondientes (ID token y, opcionalmente, access token) para la aplicación.
- **Solicitudes de tokens:**
Las aplicaciones solicitan tokens utilizando protocolos estándar como **OpenID Connect y OAuth 2.0**, especificando los scopes o permisos requeridos. El User Flow controla el comportamiento del endpoint de autenticación.
- **Inspección de tokens:**
Durante el desarrollo, herramientas como **jwt.ms** permiten decodificar e inspeccionar los claims contenidos en los tokens, facilitando la comprensión y depuración del flujo de identidad.
**Ejemplo práctico**
Supongamos una aplicación llamada **demoApp** registrada en Entra External ID. Al iniciar sesión, el usuario es redirigido a un User Flow configurado. Una vez autenticado, el servicio emite un **ID token** firmado digitalmente y redirige al usuario a una URL previamente registrada, donde la aplicación puede validar el token y utilizar los claims para controlar el acceso.
¿Como se validan los tokens de seguridad? La aplicación que recibe el token hace una comprobación con la firma que recibe el token y los compara con las llave privada y publica, para asegurarse de que el token no fue alterado.
Normalmente el servidor de autorización combina el siguiente par de tokens:
Notificaciones son pares de clave-valor que proprocionan información de como:
Las aplicaciones usan los tokens para:
Normalmente el servidor de autorización combina el siguiente par de tokens:
Notificaciones: Aserciones sobre la entiedad, como la aplicación cliente o el propietario de recursos a otra entidad.
JWT: JSON Web Tokens enviamos notificaciones
Recuerdo donde trabajaba para hacer uso de una VPN, primero ingresaba mis credenciales, luego tenia el doble factor de autenticación con un mensaje en mi celular. Dentro de alguna aplicación de la empresa la primera vez que ingresaba daba mis credenciales y luego el token, pasado un tiempo si la sesión expiraba, solo tenia que volver a ingresar ya sin dar mis credenciales solo daba el token que se mando a mi celular.
Cuando menciona la llave publica y privada, me recordo el blockchain.
El token es una cadena de texto, que se puede copiar en un bloc de notas
Tokens de actualización. Los token tienen una validez durante un breve periodo de tiempo, esta vigencia se aplica de aucerdo a la política. Sirven para identificar la frecuenca de renovación del token de autenticación. Si no se usura el usuario tendria que que volver a iniciar sesión manualmente, cada que el token de acceso expire.
Token de acceso. Hace una petición a la aplicación protegida por AD. Incluye información sobre el usuario y el recurso para el que esta previsto el token.
Token ID, identificiar que el usuario es quien dice ser.
Token: Cadena de cracteres que tiene cierto significado para cierto lenguaje de programación.
