Отдых

2-27 ночей

от RUB 800

Поток OAuth токена контекста для надстроек SharePoint

• Статья
• 15. 09.2021

В SharePoint процесс аутентификации и авторизации OAuth для надстройки с низким уровнем доверия, размещенной у поставщика, включает ряд взаимодействий между вашей надстройкой, SharePoint, сервером авторизации и браузером во время выполнения. Сервером авторизации в этом сценарии является служба управления доступом Microsoft Azure (ACS).

Важно

Azure Access Control (ACS), служба Azure Active Directory (Azure AD), будет прекращена 7 ноября 2018 г. Этот вывод не влияет на модель надстройки SharePoint, которая использует https: //accounts.accesscontrol.windows.net имя хоста (на которое это удаление не повлияет). Дополнительные сведения см. в статье Влияние вывода из эксплуатации Azure Access Control для надстроек SharePoint.

При использовании надстройки, размещенной у поставщика, у вас есть удаленное веб-приложение или служба, которые отделены от SharePoint и не являются частью фермы SharePoint или аренды SharePoint Online. Он может быть размещен в облаке или на локальном сервере. В этой статье удаленный компонент называется Contoso.com.

Примечание

Удаленный компонент также может размещать приемники событий, которые реагируют на события, происходящие с элементами SharePoint, такими как списки или элементы списков. Примеры удаленных событий, на которые Contoso.com может реагировать, — это события списка, такие как добавление или удаление элемента списка; или веб-события, такие как добавление или удаление сайта. Дополнительные сведения о создании удаленных приемников событий см. в статье Создание удаленного приемника событий в надстройках SharePoint.

Contoso.com использует клиентскую объектную модель SharePoint (CSOM) или REST API SharePoint для выполнения вызовов в SharePoint. Приложение Contoso.com использует поток передачи маркера OAuth для аутентификации в SharePoint. SharePoint и Contoso.com не доверяют друг другу; но оба доверяют ACS и принимают токены, выпущенные ACS.

Задействованы три токена: Служба ACS в SharePoint создает маркер контекста , который SharePoint перенаправляет на Constoso.com. Contoso.com проверяет, что токен контекста был выдан ACS, поэтому он доверяет ему. Затем Contoso.com извлекает маркер обновления из маркера контекста и использует его для получения маркера доступа непосредственно из ACS. Он включает маркер доступа во все свои запросы к SharePoint. SharePoint проверяет, что маркер доступа был выдан ACS, поэтому отвечает на запросы от Contoso.com.

Вы предоставляете код обработки токена в удаленном компоненте (но если ваш удаленный компонент размещен на .NET, инструменты разработчика Microsoft Office для Visual Studio предоставляют пример кода, который выполняет большую часть работы за вас). Дополнительные сведения о коде обработки токенов см. в статье Обработка токенов безопасности в надстройках SharePoint с низким уровнем доверия, размещаемых у поставщика.

Предварительные условия

Прежде чем надстройка SharePoint сможет использовать поток маркера контекста, необходимо выполнить следующие предварительные действия:

• Следующие требования применяются только в том случае, если вы устанавливаете надстройку SharePoint локально в дополнение к SharePoint Online; эти требования не применяются, если вы устанавливаете только надстройку SharePoint для SharePoint Online

  .
  • Ферма должна быть настроена для поддержки надстроек . На самом деле это требование для установки любых надстроек SharePoint в ферму, даже если они не используют поток токена контекста. Дополнительные сведения см. в разделе Инструменты и среды для разработки надстроек SharePoint.
  • Клиент, устанавливающий надстройку, должен иметь учетную запись Office 365 . Это необходимо для получения доступа к СКУД. Клиент не обязан использовать свою учетную запись для каких-либо других целей.
  • Ферма должна быть настроена на совместное использование доверительных отношений между Office 365 и ACS . Это легко сделать с помощью сценариев Windows PowerShell. Дополнительные сведения см. в статье Использование сайта Office 365 SharePoint для авторизации размещенных у поставщика надстроек на локальном сайте SharePoint.

• Независимо от того, установлена ​​ли надстройка в SharePoint Online или в локальной ферме SharePoint, надстройка SharePoint должна быть зарегистрирована в ACS . Дополнительные сведения о том, как это можно сделать, см. в разделе Регистрация надстроек SharePoint. Помимо прочего, надстройка предоставляет ACS свой идентификатор клиента и секрет клиента в рамках регистрации.

Шаги потока маркера контекста

Процесс проверки подлинности и авторизации OAuth для надстройки SharePoint, размещенной у поставщика, показан на следующем рисунке.

Поток маркера контекста OAuth

Эти шаги соответствуют номерам на рисунке:

1. Пользователь запускает надстройку SharePoint из SharePoint. Дизайн надстройки определяет, как это делается:

   • Если надстройка предназначена для отображения удаленного веб-приложения (на Contoso.com) в части надстройки (которая по сути является оболочкой для IFRAME ), запуск надстройки означает просто переход к Страница SharePoint, содержащая часть надстройки. (Если пользователь еще не вошел в систему, SharePoint предлагает пользователю выполнить вход.) SharePoint обрабатывает страницу и обнаруживает, что на странице есть компонент из приложения Contoso.com. (Дополнительные сведения о частях надстройки см. в разделе Создание частей надстройки для установки вместе с надстройкой SharePoint.)
   • Если надстройка предназначена для использования в качестве полной страницы в браузере, пользователь запускает ее, выбирая плитку надстройки на странице «Содержимое сайта» веб-сайта SharePoint. (Вариант этого — когда надстройка включает пользовательское меню или элемент ленты, который запускает удаленный компонент. )

2. Независимо от того, как запускается надстройка, SharePoint должен получить маркер контекста, который он может отправить приложению Contoso.com, поэтому он запрашивает ACS создать маркер контекста, содержащий сведения о контексте SharePoint, включая текущего пользователя. , URL-адрес удаленного приложения и другую информацию. Маркер контекста также содержит зашифрованный маркер обновления.

3. ACS подписывает токен контекста с помощью алгоритма, использующего секрет надстройки Contoso.com, и возвращает его в SharePoint. Только ACS и надстройка Contoso.com знают секрет.

4. Если приложение Contoso.com отображается в части надстройки, SharePoint отображает страницу, на которой размещена часть надстройки, и добавляет маркер контекста к URL-адресу, который IFRAME в части надстройки вызывает для получения его содержание. Если приложение Contoso.com является полностраничным, SharePoint перенаправляет браузер на Contoso. com и включает маркер контекста как часть ответа перенаправления.

5. Маркер контекста включается в запрос браузера, отправляемый на сервер Contoso.com.

6. Сервер Contoso.com получает токен контекста и проверяет подпись, что он может сделать, поскольку ему известен секрет клиента. Это гарантирует Contoso.com, что токен был выдан ACS, а не самозванцем, выдающим себя за SharePoint. Contoso.com извлекает маркер обновления из маркера контекста и отправляет его вместе с другой информацией, включая идентификатор клиента и секрет клиента, в ACS в запросе маркера доступа, который позволяет ему получить доступ к SharePoint.

7. Служба ACS проверяет маркер обновления, чтобы убедиться, что он выдан, а затем возвращает маркер доступа в Contoso.com. При необходимости Contoso.com может кэшировать этот маркер доступа, чтобы ему не приходилось запрашивать у ACS маркер доступа каждый раз при доступе к SharePoint. По умолчанию токены доступа действуют в течение нескольких часов. (На момент написания этой статьи срок действия маркеров доступа к SharePoint, выданных ACS, по умолчанию составлял 12 часов, но это может измениться.)

Каждый токен доступа относится к учетной записи пользователя, указанной в исходном запросе на авторизацию, и предоставляет доступ только к службе (в данном случае SharePoint), указанной в этом запросе. Жетоны обновления живут дольше (шесть месяцев на момент написания этой статьи), а также могут кэшироваться. Таким образом, тот же токен обновления можно обменять на новый токен доступа от ACS, пока не истечет срок действия самого токена обновления. (Дополнительные сведения о кэшировании токенов см. в статье Обработка токенов безопасности в надстройках SharePoint с низким уровнем доверия, размещаемых у поставщика.)

По истечении срока действия маркера обновления Contoso.com может получить новый, получив новый маркер контекста. Дополнительные сведения см. в статье Получение нового маркера контекста.

1. Contoso. com использует маркер доступа, чтобы сделать вызов SharePoint REST API или запрос CSOM к spnv. Это делается путем передачи маркера доступа OAuth в заголовке HTTP Authorization . (Пример кода для создания заголовка приведен в Инструментах разработчика Office для Visual Studio, если ваш удаленный компонент размещен на платформе .NET.)
2. SharePoint проверяет маркер доступа, чтобы убедиться, что маркер был выдан ACS. Затем он отправляет данные, запрошенные Contoso.com, в Contoso.com или выполняет операцию создания, чтения, обновления или удаления (CRUD), запрошенную Contoso.com.
3. Страница приложения Contoso.com отображается в браузере (или в IFRAME части надстройки).

См. также

• Разрешения для надстроек в SharePoint
• Важные аспекты архитектуры надстройки SharePoint и среды разработки
• Создание надстроек SharePoint, использующих авторизацию с низким уровнем доверия
• Авторизация и проверка подлинности надстроек SharePoint

Обратная связь

Просмотреть все отзывы о странице

ArcGIS REST API — ArcGIS Services

• URL:http://<хост>:<порт>/<экземпляр>/admin
  
• Представленная версия: 10. 0

Описание

В 10.1 и более поздних версиях административная конечная точка REST API (http://<хост>:<порт>/<экземпляр>/arcgis/rest/admin) больше не поддерживается. Ранее административные задачи поддерживаемые в REST API Admin, теперь поддерживаются в ArcGIS API администратора сервера.

Также обратите внимание, что в версии 10.1 и выше ArcGIS Server автоматически очищает кэш REST при добавлении, обновлении или удалении служб и папок. Это избавляет от необходимости очищать кэш REST вручную, когда изменения вносятся в службы или папки.

Если вам нужно выполнить административные задачи, которые ранее поддерживается в REST API Admin, например «Создать токен администратора», «Очистить REST-кэш» и параметры для включения или отключения каталога сервисов, используйте доступный ArcGIS Server Admin API по следующему URL-адресу:

http://<хост>:<порт>/<экземпляр>/admin

Администратор ArcGIS Server защищен, поэтому только пользователи, иметь АДМИНИСТРАТОРА или Привилегии PUBLISH имеют разрешения на получить доступ к админ.

Кэш REST

REST API кэширует содержимое, относящееся к каталогам, службам, картам, моделям и т. д. Например, такие ресурсы, как ресурс службы, ресурс слоя, ресурс легенды, ресурс задачи геообработки и т. д., кэшируются при первом доступе к ресурсу. Если к тому же ресурсу будут сделаны последующие запросы, REST вернет ответ из своего кеша, а не попросит службу выполнить запрос. Для статических ресурсов, которые не часто меняются, кэширование такого контента позволяет значительно повысить производительность при работе с REST API.

Важно отметить, что результаты операций не кэшируются REST. Например, если операция запроса выполняется для слоя картографического сервиса, ответ на запрос не будет кэшироваться в кэше REST. Однако браузеры могут кэшировать ответ и использовать его кэш, если тот же запрос повторяется из этого браузера, и сервер возвращает в своем ответе статус 304 NOT MODIFIED или если значение MAX-AGE заголовка ответа CACHE-CONTROL указывает, что браузер может повторно использовать кеш в течение оговоренного периода времени.

До версии 10.1 при каждом обновлении службы или папки требовалось очищать кэш REST вручную с помощью операции очистки кеша. В версии 10.1 и выше ArcGIS Server автоматически очищает кэш при добавлении, обновлении или удалении сервисов и папок. Кроме того, если у вас конфигурация с несколькими машинами, кэш REST будет очищен на всех машинах. При необходимости вы можете вручную очистить кэш REST, используя следующий URL-адрес:

http://<хост>:<порт>/<экземпляр>/admin/system/handlers/rest/cache/clear

Страница параметров очистки кэша выглядит следующим образом:

Вы можете указать имя папки и/или имя службы и тип службы, чтобы очистить кэш для определенной папки или службы. Если щелкнуть «Очистить кеш» без указания папки или имени/типа службы, будет очищен весь кеш REST API.

Services Directory

Services Directory предоставляет HTML-представление сервисов, опубликованных с помощью ArcGIS Server. API администрирования ArcGIS Server дает вам возможность включать или отключать REST Services Directory, используя следующий URL-адрес:

http://://admin/system/handlers/rest/servicesdirectory

Отключение Services Directory рекомендуется в качестве наилучшей практики для общедоступных систем ArcGIS Server. Вы можете включить Service Directory в производственных системах, только если есть необходимость сделать HTML-страницы и формы доступными для конечных пользователей. После отключения пользователи не могут просматривать и использовать службы с помощью HTML-страниц каталога служб, то есть запросов, сделанных для выходного формата HTML (f=html или когда параметр f не указан). Они получат сообщение об ошибке, если попытаются получить доступ к каталогу служб после того, как он был отключен администратором. Все клиентские приложения (веб-API, настольные, мобильные и т. д.), которые программным путем обращаются к службам с использованием JSON или других выходных форматов, будут продолжать функционировать должным образом.

Страница параметров каталога служб обычно выглядит так, как показано ниже. Чтобы отключить представление «Каталог служб», щелкните ссылку «Изменить» и снимите флажок «Каталог служб включен». или программно вызовите URL-адрес http://://admin/system/handlers/rest/servicesdirectory/edit с помощью HTTP POST и установите токен, полученный для пользователя-администратора, и параметр servicesDirEnabled в false . В конфигурации с несколькими компьютерами это отключит каталог служб на всех компьютерах.

Когда каталог служб отключен, страница параметров каталога служб выглядит, как показано ниже. Чтобы включить каталог служб, установите флажок «Включен каталог служб» и нажмите кнопку редактирования или программно вызовите URL-адрес http://<хост>:<порт>/<экземпляр>/admin/system/handlers/rest/servicesdirectory/ отредактируйте с помощью HTTP POST и установите для токена, полученного для пользователя-администратора, и для параметра servicesDirEnabled значение true.