azure - 如何在 Azure 上将 OpenId Connect 重定向 URI HTTPS？

Question

我创建了 2 个在 Azure 中托管的 Web 应用程序。一个应用程序 (A) 是 IdentityServer4 提供程序，另一个应用程序 (B) 是通过 OpenId Connect 使用 A 作为外部登录提供程序的应用程序。在 A 的代码中，我将 IdentityServer4 配置为要求 B 的登录调用使用特定的重定向 URI:

namespace A.IdentityServer4Config
{
    public static class Clients
    {
        public static IEnumerable<Client> GetClients(IConfiguration configuration)
        {
            return new List<Client>
            {
                new Client
                {
                    ClientId = "B",
                    ClientSecrets = {new Secret("hashed secret for B")},
                    AllowedGrantTypes = GrantTypes.CodeAndClientCredentials,
                    AllowedScopes = {"openid", "profile", ...},
                    RedirectUris = {"https://B.azurewebsites.net/Account/oidc-callback"},
                    RequireConsent = false,
                    AccessTokenLifetime = 10 * 60,
                },
            };
        }
    }
}

在 Startup.ConfigureServices 中:

var identityServerBuilder = services
    .AddIdentityServer(options => {...})
    ...
    .AddInMemoryClients(Clients.GetClients(configuration))
    ...;

请注意，我指定的重定向 URI 是 HTTPS URI。

在 B 的代码中，我使用 Microsoft.Extensions.DependencyInjection.OpenIdConnectExtensions 中的 AddOpenIdConnect() 重载之一来配置登录调用应如何进行:

services.AddAuthentication(options => {...})
    ...
    .AddOpenIdConnect(
        "oidc",
        options =>
        {
            ...

            options.Authority = "https://A.azurewebsites.net";
            options.RequireHttpsMetadata = true;

            options.ClientId = "B";
            options.ClientSecret = "secret for B";
            options.ResponseType = "code";
            options.CallbackPath = "/Account/oidc-callback"; // !!!

            options.SaveTokens = true;
            options.GetClaimsFromUserInfoEndpoint = true;

            ...
        }
    );

该行注释为“!!!”是配置登录请求的重定向 URI 的位置。请注意，它必须是相对于应用程序域的路径。您无法指定完整的 URI(我尝试过；如果您这样做，那么应用程序在启动时会崩溃)。由于您无法完整指定 URI，因此该属性不能用于要求重定向 URI 为 HTTPS。 (RemoteAuthenticationOptions.CallbackPath 是一个 Microsoft.AspNetCore.Http.PathString。官方文档中对其的描述如下:“将返回用户代理的应用程序基本路径中的请求路径。中间件将在请求到达时处理该请求” ”)

当我尝试在 B 登录时，我被带到 A 上的错误页面。当我查看 A 上 IdentityServer4 生成的日志时，很明显错误的原因是由B 与预期不符。这两个 URI 之间的唯一区别在于，A 期望看到的是 HTTPS URI，而 B 指定的是 HTTP(无“S”)URI:

2018-08-16 15:20:41.307 +00:00 [Error] IdentityServer4.Endpoints.AuthorizeEndpoint: Request validation failed
2018-08-16 15:20:41.307 +00:00 [Information] IdentityServer4.Endpoints.AuthorizeEndpoint: {
"ClientId": "B",
"AllowedRedirectUris": [
    "https://B.azurewebsites.net/Account/oidc-callback"
],
"SubjectId": "anonymous",
"RequestedScopes": "",
"Raw": {
    "client_id": "B",
    "redirect_uri": "http://B.azurewebsites.net/Account/oidc-callback",
    "response_type": "code",
    "scope": "openid profile ...",
    "response_mode": "form_post",
    "nonce": "[omitted]",
    "state": "[omitted]",
    "x-client-SKU": "ID_NETSTANDARD1_4",
    "x-client-ver": "5.2.0.0"
}
}
2018-08-16 15:20:41.307 +00:00 [Information] IdentityServer4.Events.DefaultEventService: {
"Name": "Token Issued Failure",
"Category": "Token",
"EventType": "Failure",
"Id": 2001,
"ClientId": "B",
"Endpoint": "Authorize",
"Scopes": "",
"Error": "unauthorized_client",
"ErrorDescription": "Invalid redirect_uri",
"ActivityId": "[omitted]",
"TimeStamp": "2018-08-16T15:20:41Z",
"ProcessId": 10408,
"LocalIpAddress": "[omitted]",
"RemoteIpAddress": "[omitted]"
}

我不知道为什么 B 对 A 的请求默认使用 HTTP 作为重定向 URI。我不知道如何改为 HTTPS。我可以放宽重定向 URI 为 HTTPS 的要求，但这似乎是错误的做法。我想知道如何让 B 在对 A 的请求中指定 HTTPS URI。根据文档中 RemoteAuthenticationOptions.CallbackPath 的描述，我认为这应该通过确保“应用程序的基本路径”是 HTTPS 来实现;但是，我不知道如何做到这一点，并且在互联网上搜索也没有成功。

当我在本地运行这些应用程序时，一切正常，因为当 B 在本地运行时，它发出的请求指定 HTTPS 重定向 URI(正如我希望的那样)。我不知道为什么它在本地运行和在 Azure 上运行时的行为不同。

我尝试过的

如上所述，我尝试完全指定重定向 URI(而不是相对术语)。这不起作用 - 它会导致应用程序在启动时崩溃。

我还尝试将 CallbackPath 类型设置为使用 PathString.FromUriComponent() (使用各种绝对 URI)构造的 PathString。这不起作用。如果我将相对 URI 作为字符串传递，则 URI 的协议(protocol)和域部分将被丢弃并替换为它们本来的样子(即“http”和适当的域)。

我查看了在 https://github.com/IdentityServer/IdentityServer4.Samples 中找到的各种示例 MVC 客户端中的 Startup 类。 。我没有看到任何明显可以解决此问题的方法。

Answer 1

事实证明，在 Azure 上，生成的重定向 URI 是 HTTP 还是 HTTPS 由 SSL 配置“ Blade ”中的“仅 HTTPS”设置决定。

在 Azure Web 门户中，选择应用服务 (B)。在“设置”下，选择“SSL 设置”。 SSL 配置“ Blade ”打开。出现的第一个选项是“仅 HTTPS”。它默认为“关闭”。将其更改为“打开”。