Verwenden des ACS-Verwaltungsdiensts zum Konfigurieren von Dienstidentitäten

Artikel
11/09/2015

Aktualisiert: 19. Juni 2015

Gilt für: Azure

Gilt für

Zugriffssteuerung für Microsoft Azure Active Directory (auch Zugriffssteuerungsdienst oder ACS)

Übersicht

Sie können ACS-Dienstidentitäten mithilfe des ACS-Verwaltungsportals (weitere Informationen finden Sie unter Dienstidentitäten) oder den ACS-Verwaltungsdienst konfigurieren. Das Arbeiten mit dem ACS-Verwaltungsdienst kann effizienter sein, wenn Sie eine benutzerdefinierte Benutzeroberfläche für die Verwaltung von ACS erstellen oder das Onboarding eines neuen Mandanten für Mehrmandantensoftware as a Service-Lösungen (SaaS) automatisieren möchten.

Schritte zum Konfigurieren von Dienstidentitäten mithilfe des ACS-Verwaltungsdiensts

Wichtig

Bevor Sie die folgenden Schritte ausführen, stellen Sie sicher, dass Ihr System alle .NET Framework- und Plattformanforderungen erfüllt, die in ACS-Voraussetzungen zusammengefasst sind.

Führen Sie die folgenden Schritte aus, um Dienstidentitäten mithilfe des ACS-Verwaltungsdiensts zu konfigurieren:

Schritt 1 – Erfassen der ACS-Konfigurationsinformationen
Schritt 2 – Erstellen einer Konsolenbeispielanwendung
Schritt 3 – Hinzufügen von Verweisen auf die erforderlichen Dienste und Assemblys
Schritt 4 – Implementieren des Verwaltungsdienstclients
Schritt 5 - Hinzufügen einer Dienstidentität

Schritt 1 – Erfassen der ACS-Konfigurationsinformationen

Sie können das ACS-Verwaltungsportal verwenden, um die erforderlichen Konfigurationsinformationen zu erfassen. Weitere Informationen zum Starten des ACS-Verwaltungsportals finden Sie im ACS-Verwaltungsportal.

So erfassen Sie ACS-Konfigurationsinformationen

Starten Sie das ACS-Verwaltungsportal. Weitere Informationen zum Starten des ACS-Verwaltungsportals finden Sie im ACS-Verwaltungsportal.
Rufen Sie den Wert des ACS-Verwaltungsdienstkontos ab. Sie können das Standardkonto ManagementClient verwenden. Um diesen Wert anzuzeigen, klicken Sie im ACS-Verwaltungsportal auf den Verwaltungsdienst im Abschnitt "Verwaltung " in der Struktur auf der linken Seite der Seite.
Rufen Sie den Wert des Kennworts des ACS-Verwaltungsdienstkontos ab. Gehen Sie wie folgt vor, um diesen Wert anzuzeigen:
1. Klicken Sie im ACS-Verwaltungsportal auf den Verwaltungsdienst im Abschnitt "Verwaltung " in der Struktur auf der linken Seite der Seite.
2. Klicken Sie auf der Seite Verwaltungsdienst unter Verwaltungsdienstkonten auf ManagementClient.
3. Klicken Sie auf der Seite Verwaltungsdienstkonto bearbeiten unter Anmeldeinformationen auf Kennwort.
4. Kopieren Sie auf der Seite Verwaltungsanmeldeinformationen bearbeiten den Wert im Feld Kennwort.
Rufen Sie den Wert Ihres Azure-Namespace ab. Sie können diesen Wert aus dem Azure-Portal oder aus der URL Ihres ACS-Verwaltungsportals abrufen. Beispielsweise ist der http://contoso.accesscontrol.windows.netWert des Azure-Namespace "contoso".
Rufen Sie den Wert des ACS-Hostnamens ab. Normalerweise lautet dieser accesscontrol.windows.net.

Schritt 2 – Erstellen einer Konsolenbeispielanwendung

In diesem Schritt erstellen Sie eine Beispielkonsolenanwendung, die den Code zum Hinzufügen Ihrer ACS-Dienstidentitäten ausführen kann.

So erstellen Sie eine Konsolenbeispielanwendung

Öffnen Sie Visual Studio 2012, und erstellen Sie ein neues Konsolenanwendungsprojekt.

Fügen Sie der Klasse Program den folgenden Code hinzu, und weisen Sie dann die Variablen serviceIdentityPasswordForManagement, serviceNamespace und acsHostName den entsprechenden Konfigurationsinformationen zu, die Sie im vorherigen Schritt erfasst haben.

public const string serviceIdentityUsernameForManagement = "ManagementClient";
public const string serviceIdentityPasswordForManagement = "My Password/Key for ManagementClient";
public const string serviceNamespace = "MyNameSpaceNoDots";
public const string acsHostName = "accesscontrol.windows.net";
public const string acsManagementServicesRelativeUrl = "v2/mgmt/service/";
static string cachedSwtToken;

Schritt 3 – Hinzufügen von Verweisen auf die erforderlichen Dienste und Assemblys

In diesem Schritt werden die erforderlichen Abhängigkeiten identifiziert und dann den Diensten und Assemblys hinzugefügt.

So fügen Sie die erforderlichen Abhängigkeiten den Diensten und Assemblys hinzu

Klicken Sie mit der rechten Maustaste auf Verweise, klicken Sie auf Verweis hinzufügen, und fügen Sie dann einen Verweis auf System.Web.Extensions hinzu.

Hinweis

Ggf. müssen Sie in Projektmappen-Explorer mit der rechten Maustaste auf den Namen Ihrer Konsolenbeispielanwendung klicken, Eigenschaften auswählen, und dann das Zielframework Ihrer Beispielanwendung von .NET Framework 4-Clientprofil (dieser Wert wird standardmäßig zugewiesen, wenn Sie eine neue Konsolenanwendung erstellen) in .NET Framework 4 ändern.
Klicken Sie mit der rechten Maustaste auf Dienstverweise, klicken Sie auf Dienstverweis hinzufügen, und fügen Sie dem Verwaltungsdienst dann einen Dienstverweis hinzu. Die Verwaltungsdienst-URL ist für Ihren Namespace eindeutig und ähnelt der folgenden URL:

https:// YOURNAMESPACE.accesscontrol.windows.net/v2/mgmt/service

Fügen Sie die folgenden Deklarationen hinzu. Dabei ist MyConsoleApplication der Name Ihrer Konsolenanwendung und MyServiceReference der Name Ihres Dienstverweises:

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.Web;
using System.Net;
using System.Data.Services.Client;
using System.Collections.Specialized;
using System.Web.Script.Serialization;
using System.Globalization; 
using System.Security.Cryptography;
using System.Security.Cryptography.X509Certificates;
using MyConsoleApplication.MyServiceReference;

Schritt 4 – Implementieren des Verwaltungsdienstclients

In diesem Schritt implementieren Sie den Verwaltungsdienstclient.

So implementieren Sie den Verwaltungsdienstclient

Fügen Sie der Program -Klasse die folgende Methode hinzu:

   public static ManagementService CreateManagementServiceClient()
        {
            string managementServiceEndpoint = String.Format(CultureInfo.InvariantCulture, "https://{0}.{1}/{2}",
                serviceNamespace,
                acsHostName,
                acsManagementServicesRelativeUrl);
            ManagementService managementService = new ManagementService(new Uri(managementServiceEndpoint));

            managementService.SendingRequest += GetTokenWithWritePermission;

            return managementService;
        }

Fügen Sie der Klasse Program den folgenden Code hinzu, um die Methode GetTokenWithWritePermission und deren Hilfsmethoden zu erstellen. GetTokenWithWritePermission und deren Hilfsmethoden fügen das SWT OAuth-Token des Autorisierungsheaders der HTTP-Anforderung hinzu.

public static void GetTokenWithWritePermission(object sender, SendingRequestEventArgs args)
        {
            GetTokenWithWritePermission((HttpWebRequest)args.Request);
        }

        public static void GetTokenWithWritePermission(HttpWebRequest args)
        {
            if (cachedSwtToken == null)
            {
                cachedSwtToken = GetTokenFromACS();
            }

            args.Headers.Add(HttpRequestHeader.Authorization, "Bearer " + cachedSwtToken);
        }

        private static string GetTokenFromACS()
        {
            //
            // Request a token from ACS
            //
            WebClient client = new WebClient();
            client.BaseAddress = string.Format(CultureInfo.CurrentCulture, 
                                               "https://{0}.{1}", 
                                               serviceNamespace, 
                                               acsHostName);

            NameValueCollection values = new NameValueCollection();
            values.Add("grant_type", "client_credentials");
            values.Add("client_id", serviceIdentityUsernameForManagement);
            values.Add("client_secret", serviceIdentityPasswordForManagement);
            values.Add("scope", client.BaseAddress + acsManagementServicesRelativeUrl);

            byte[] responseBytes = client.UploadValues("/v2/OAuth2-13", "POST", values);

            string response = Encoding.UTF8.GetString(responseBytes);

            // Parse the JSON response and return the access token 
            JavaScriptSerializer serializer = new JavaScriptSerializer();

            Dictionary<string, object> decodedDictionary = serializer.DeserializeObject(response) as Dictionary<string, object>;

            return decodedDictionary["access_token"] as string;

        }

Schritt 5 - Hinzufügen einer Dienstidentität

In diesem Schritt fügen Sie eine Dienstidentität mithilfe des Verwaltungsdienstclients hinzu, den Sie in einem der vorherigen Schritte erstellt haben. Eine ACS-Dienstidentität kann ein Kennwort, einen symmetrischen Schlüssel oder ein X.509-Zertifikat als Anmeldeinformationentyp verwenden.

So fügen Sie eine Dienstidentität hinzu

Initialisieren Sie den Verwaltungsdienstclient, indem Sie der Methode Main in der Klasse Program den folgenden Code hinzufügen:
```
ManagementService svc = CreateManagementServiceClient();
```

Führen Sie eines der folgenden Verfahren aus:

Fügen Sie der Methode Main der Klasse Program den folgenden Code hinzu, um eine Dienstidentität hinzuzufügen, der ein Kennwort zugeordnet ist, und die Änderungen zu speichern:

Hinweis

Sie können diese Dienstidentität "SampleServiceIdentity" nennen und ihr Kennwort auf "SampleServiceIdentityPassword" festlegen, wie im Code unten gezeigt.

            string name = "SampleServiceIdentity";
            string password = "SampleServiceIdentityPassword";
            ServiceIdentity sid = new ServiceIdentity()
            {
                Name = name
            };

            DateTime startDate, endDate;
            startDate = DateTime.UtcNow;
            endDate = DateTime.MaxValue;

            ServiceIdentityKey key = new ServiceIdentityKey()
            {
                EndDate = endDate.ToUniversalTime(),
                StartDate = startDate.ToUniversalTime(),
                Type = "Password",
                Usage = "Password",
                Value = Encoding.UTF8.GetBytes(password),
                DisplayName = String.Format(CultureInfo.InvariantCulture, "{0} key for {1}", "Password", name)
            };

            svc.AddToServiceIdentities(sid);
            svc.AddRelatedObject(
                sid,
                "ServiceIdentityKeys",
                key);


            svc.SaveChanges(SaveChangesOptions.Batch);

Fügen Sie der Methode Main der Klasse Program den folgenden Code hinzu, um eine Dienstidentität hinzuzufügen, der ein symmetrischer Schlüssel zugeordnet ist, und die Änderungen zu speichern:

Hinweis

Sie können diese Dienstidentität "SampleServiceIdentity" nennen und ihren Wert für den symmetrischen Schlüssel auf "SampleServiceIdentityPassword" festlegen, wie im Code unten gezeigt.

            string name = "SampleServiceIdentity";
            string symKey = "SampleServiceIdentitySymmetricKey";
            ServiceIdentity sid = new ServiceIdentity()
            {
                Name = name
            };

            DateTime startDate, endDate;
            startDate = DateTime.UtcNow;
            endDate = DateTime.MaxValue;

            ServiceIdentityKey key = new ServiceIdentityKey()
            {
                EndDate = endDate.ToUniversalTime(),
                StartDate = startDate.ToUniversalTime(),
                Type = "Symmetric",
                Usage = "Signing",
                Value = Convert.FromBase64String(symKey),
                DisplayName = String.Format(CultureInfo.InvariantCulture, "{0} key for {1}", "Sym Key", name)
            };

            svc.AddToServiceIdentities(sid);
            svc.AddRelatedObject(
                sid,
                "ServiceIdentityKeys",
                key);


            svc.SaveChanges(SaveChangesOptions.Batch);

Fügen Sie der Methode Main der Klasse Program den folgenden Code hinzu, um eine Dienstidentität hinzuzufügen, der ein X.509-Zertifikat zugeordnet ist, und die Änderungen zu speichern:

Hinweis

Sie können diese Dienstidentität SampleServiceIdentity nennen, wie im Code unten gezeigt.

Ersetzen Sie im Code unten "Full path to your .CER file" durch den vollqualifizierten Pfad zu Ihrem X.509-Zertifikat. Wenn ein Zertifikat namens "ACS2ClientCertificate.cer" z. B. unter "C:\" gespeichert wird, lautet der richtige Wert "C:\ACS2ClientCertificate.cer".

            string name = "SampleServiceIdentity";
            X509Certificate2 cert = new X509Certificate2(@"Full path to your .CER file");

            ServiceIdentity sid = new ServiceIdentity()
            {
                Name = name
            };

            DateTime startDate, endDate;

            startDate = cert.NotBefore.ToUniversalTime();
            endDate = cert.NotAfter.ToUniversalTime();

            ServiceIdentityKey key = new ServiceIdentityKey()
            {
                EndDate = endDate.ToUniversalTime(),
                StartDate = startDate.ToUniversalTime(),
                Type = "X509Certificate",
                Usage = "Signing",
                Value = cert.GetRawCertData(),
                DisplayName = String.Format(CultureInfo.InvariantCulture, "{0} key for {1}", "Cert", name)
            };

            svc.AddToServiceIdentities(sid);
            svc.AddRelatedObject(
                sid,
                "ServiceIdentityKeys",
                key);


            svc.SaveChanges(SaveChangesOptions.Batch);

Weitere Informationen

Konzepte

ACS – Vorgehensweisen

Share via

Verwenden des ACS-Verwaltungsdiensts zum Konfigurieren von Dienstidentitäten

Gilt für

Übersicht

Schritte zum Konfigurieren von Dienstidentitäten mithilfe des ACS-Verwaltungsdiensts

Schritt 1 – Erfassen der ACS-Konfigurationsinformationen

So erfassen Sie ACS-Konfigurationsinformationen

Schritt 2 – Erstellen einer Konsolenbeispielanwendung

So erstellen Sie eine Konsolenbeispielanwendung

Schritt 3 – Hinzufügen von Verweisen auf die erforderlichen Dienste und Assemblys

So fügen Sie die erforderlichen Abhängigkeiten den Diensten und Assemblys hinzu

Schritt 4 – Implementieren des Verwaltungsdienstclients

So implementieren Sie den Verwaltungsdienstclient

Schritt 5 - Hinzufügen einer Dienstidentität

So fügen Sie eine Dienstidentität hinzu

Weitere Informationen

Konzepte

Zusätzliche Ressourcen