如何让 MSAL4J 和 azure-security-keyvault-* 协同工作？

Question

我想使用 MSAL4J 和存储在 Azure Key Vault (AKV) 中的证书进行身份验证。 该证书是自签名的 Azure Key Vault 证书。

我可以找到一个基于本地（文件系统）存储的证书和密钥的示例，而不是在 AKV 中创建和存储的证书。 如何在 MSAL4J 中使用从azure-security-keyvault-*获得的证书、密钥和秘密对象？

1. 来自azure-security-keyvault-keys是com.azure.security.keyvault.keys.models.KeyVaultKey ，但 MSAL4J 需要java.security.PrivateKey 。
2. 如何应用从azure-security-keyvault-secrets获得的秘密来解密私钥？

Answer 1

你确定它受支持吗？ 据我所知，不支持基于证书的身份验证。 MSAL 使用公共客户端或机密客户端。

• https://learn.microsoft.com/en-us/azure/active-directory/develop/authentication-flows-app-scenarios#daemon-app-that-calls-a-web-api-in-the-daemons-姓名
• https://learn.microsoft.com/en-us/azure/active-directory/develop/msal-client-applications

但是，我确实在他们的 wiki 上找到了这个： https://github.com/AzureAD/microsoft-authentication-library-for-java/wiki/Client-Credentials

MSAL4J 中有两种类型的客户端机密：

• 应用秘密
• 证书

您需要实例化一个机密的客户端应用程序； 如果你有证书：

String PUBLIC_CLIENT_ID;
String AUTHORITY;
PrivateKey PRIVATE_KEY;  
X509Certificate PUBLIC_KEY;

IClientCredential credential = ClientCredentialFactory.createFromCertificate(PRIVATE_KEY, PUBLIC_KEY);
ConfidentialClientApplication app = 
    ConfidentialClientApplication
        .builder(PUBLIC_CLIENT_ID, credential)
        .authority(AUTHORITY)
        .build();

然后获取令牌： https://github.com/AzureAD/microsoft-authentication-library-for-java/wiki/Acquiring-Tokens#confidential-client-applications

https://github.com/AzureAD/microsoft-authentication-library-for-js/blob/dev/lib/msal-node/src/client/ConfidentialClientApplication.ts
您需要使用： acquireTokenByClientCredential https://azuread.github.io/microsoft-authentication-library-for-js/ref/classes/_azure_msal_node.confidentialclientapplication.html#acquiretokenbyclientcredential

另见：

• https://github.com/AzureAD/microsoft-authentication-library-for-java/blob/dev/msal4j-sdk/src/integrationtest/java/com.microsoft.aad.msal4j/CertificateHelper.java
• https://learn.microsoft.com/en-us/azure/active-directory/develop/sample-v2-code
• https://learn.microsoft.com/en-us/azure/active-directory/develop/v2-oauth2-client-creds-grant-flow