Menerapkan otentikasi berbasis Microsoft Entra ID dalam aplikasi mainframe modern AWS Blu Age

Pustaka Angular yang teruji lapangan dan relevan dari Microsoft Authentication Library (MSAL) dan dokumentasi Microsoft Entra ID lainnya yang penting untuk implementasi otentikasi. 

Konfigurasi yang diperlukan pada AWS Blu Age Runtime untuk mengaktifkan Spring Security dengan menggunakan 2.0. OAuth

Pustaka yang menangkap identitas pengguna yang diautentikasi dan meneruskannya ke Blu Age AWS Runtime.

Langkah-langkah keamanan yang kami rekomendasikan untuk diterapkan.

Kiat pemecahan masalah untuk masalah yang umum ditemui dengan pengaturan Microsoft Entra ID.

Aplikasi modern yang diproduksi oleh alat refactoring modernisasi mainframe AWS Blu Age. Pola ini digunakan CardDemosebagai contoh aplikasi mainframe open source.

Perpustakaan OAuth ekstensi AWS Blu Age, yang disediakan oleh tim AWS Blu Age selama keterlibatan Anda dengan Layanan AWS Profesional.

Aktif Akun AWS untuk menyebarkan dan menguji aplikasi modern.

Keakraban dengan file konfigurasi AWS Blu Age dan dasar-dasar Microsoft Entra ID.

Pola ini mencakup otentikasi OAuth 2.0 dan alur otorisasi berbasis token dasar. Skenario otorisasi lanjutan dan mekanisme kontrol akses berbutir halus tidak dalam cakupan.

Beberapa Layanan AWS tidak tersedia di semua Wilayah AWS. Untuk ketersediaan Wilayah, lihat Layanan AWS berdasarkan Wilayah. Untuk titik akhir tertentu, lihat Titik akhir dan kuota layanan, dan pilih tautan untuk layanan.

AWS Blu Age Runtime versi 4.1.0 (polanya juga berfungsi dengan versi yang lebih baru yang kompatibel ke belakang)

Pustaka MSAL versi 3.0.23

Kit Pengembangan Java (JDK) versi 17

Versi sudut 16.1

ID Microsoft Entra

Backend berbasis Java Spring Boot yang dimodernisasi

AWS Blu Age Runtime

Keamanan Musim Semi dengan OAuth 2.0

Aplikasi satu halaman sudut (SPA)

AWS Mainframe Modernizationmenyediakan alat dan sumber daya untuk membantu Anda merencanakan dan mengimplementasikan migrasi dan modernisasi dari mainframe ke lingkungan runtime AWS terkelola. Anda dapat menggunakan fitur refactoring layanan ini, yang disediakan oleh AWS Blu Age, untuk mengonversi dan memodernisasi aplikasi mainframe lama Anda.

AWS keamanan konfigurasi.Pindahkan nilai konfigurasi sensitif dari application-main.yml ke AWS Secrets Manager. Misalnya, konfigurasikan properti berikut dengan menggunakan Secrets Manager:

security:
    oauth2:
      client:
        registration: 
          azure:
            client-id: {clientId}
            client-secret: ${clientSecret}

Untuk informasi selengkapnya tentang cara menggunakan Secrets Manager untuk mengonfigurasi parameter AWS Blu Age, lihat Rahasia AWS Blu Age Runtime di dokumentasi. AWS Mainframe Modernization

Perlindungan lingkungan runtime. Konfigurasikan lingkungan aplikasi modern dengan kontrol AWS keamanan yang tepat:

server: 
  tomcat: 
    remoteip: 
     protocol-header: X-Forwarded-Proto 
     remote-ip-header: X-Forwarded-For 
  forward-headers-strategy: NATIVE

CloudWatch Pencatatan Amazon. Pertimbangkan untuk menambahkan filelogback-spring.xml to src/main/resources:

<configuration> 
 <appender name="CLOUDWATCH" class="com.amazonaws.services.logs.logback.CloudWatchAppender">  
   <logGroup>/aws/bluage/application</logGroup> 
   <logStream>${AWS_REGION}-${ENVIRONMENT}</logStream> 
   <layout> 
    <pattern>%d{yyyy-MM-dd HH:mm:ss} [%thread] %-5level %logger{36} - %msg%n</pattern> 
   </layout> 
 </appender> 

 <root level="INFO"> 
 <appender-ref ref="CLOUDWATCH"/> 
 </root> 
</configuration>

Untuk informasi tentang mengaktifkan penelusuran dengan CloudWatch, lihat Mengaktifkan jejak untuk mencatat korelasi dalam dokumentasi. CloudWatch

Konfigurasi dan penanganan token. Konfigurasikan masa pakai token di Microsoft Entra ID agar selaras dengan persyaratan keamanan Anda. Tetapkan token akses untuk kedaluwarsa dalam 1 jam dan refresh token untuk kedaluwarsa dalam 24 jam. Dalam konfigurasi AWS Blu Age Runtime (application-main.yml), pastikan validasi JWT dikonfigurasi dengan benar dengan URI penerbit dan nilai audiens yang tepat dari pendaftaran aplikasi Entra ID Anda.

Saat token kedaluwarsa dan di-refresh:

Untuk informasi selengkapnya tentang komponen AWS Blu Age Runtime dan pembaruannya, lihat catatan rilis AWS Blu Age.

Keamanan Runtime AWS Blu Age. oauth2-extPustaka yang disediakan oleh AWS Blu Age harus ditempatkan di lokasi direktori bersama yang benar ({app-server-home}/shared/) dengan izin file yang tepat. Verifikasi bahwa pustaka berhasil mengekstrak informasi pengguna JWTs dengan memeriksa populasi SharedContext objek di log Anda.

Konfigurasi klaim khusus. Dalamapplication-main.yml, tentukan klaim yang Anda butuhkan dari Microsoft Entra ID secara eksplisit. Misalnya, untuk menangkap email dan peran pengguna, tentukan:

gapwalk-application:
  security:
    claim:
      claims:
        - claimName: upn
          claimMapValue: username
        - claimName: roles
          claimMapValue: userRoles
        - claimName: email
          claimMapValue: userEmail

Penanganan kesalahan. Tambahkan penanganan kesalahan untuk mengatasi kegagalan otentikasi di aplikasi Angular Anda; misalnya:

@Injectable()
export class AuthErrorInterceptor implements HttpInterceptor {
  intercept(request: HttpRequest<any>, next: HttpHandler): Observable<HttpEvent<any>> {
    return next.handle(request).pipe(
      catchError((error: HttpErrorResponse) => {
        if (error.status === 401) {
          // Handle token expiration
          this.authService.login();
        }
        if (error.status === 403) {
          // Handle unauthorized access
          this.router.navigate(['/unauthorized']);
        }
        return throwError(() => error);
      })
    );
  }
}

Konfigurasi batas waktu sesi. Konfigurasikan pengaturan batas waktu sesi di AWS Blu Age Runtime dan Microsoft Entra ID. Misalnya, tambahkan kode berikut ke application-main.yml file Anda:

server:
  servlet:
    session:
      timeout: 3600 # 1 hour in seconds

MsalGuard. Anda harus menerapkan MsalGuard fitur untuk semua rute yang dilindungi untuk mencegah akses yang tidak sah. Misalnya:

const routes: Routes = [
    { path: '', redirectTo: '/transaction-runner', pathMatch: 'full' },
    { path: 'transaction-runner', component: TransactionRunnerComponent, canActivate:guards },
    { path: 'user-info', component: UserInfoComponent, canActivate:guards },
    { path: 'term/:transid/:commarea', component: TermComponent, canActivate:guards },
	{ path: 'code', component: TransactionRunnerComponent  }
];

Rute yang tidak memiliki MsalGuard perlindungan akan dapat diakses tanpa otentikasi, berpotensi mengekspos fungsionalitas sensitif. Pastikan bahwa semua rute yang memerlukan otentikasi menyertakan penjaga dalam konfigurasi mereka.

Untuk informasi tentang refactoring aplikasi Anda dengan menggunakan AWS Blu Age, lihat dokumentasi.AWS Mainframe Modernization

Untuk memahami cara kerja OAuth 2.0, lihat situs web OAuth 2.0.

Untuk gambaran umum tentang Microsoft Authentication Library (MSAL), lihat dokumentasi Microsoft Entra.

Untuk informasi tentang profil pengguna pada sistem AS/400, lihat IBM i (AS400) tutorial.

Untuk alur otentikasi OAuth 2.0 dan OpenID Connect (OIDC) di platform identitas Microsoft, lihat dokumentasi Microsoft Entra.