我如何或在哪里可以访问我的保险库OIDC日志和JWT声称元数据

Question

我已经设置了Hashicorp Vault（Enterprise Edition）的本地实例，以测试使用OIDC的Vault和Azure AD单登录的实现。我正在使用Terraform在Visual Studio代码中配置和配置我的OIDC组件，但遇到了与我的令牌索赔有关的错误（请参见下文）。

我如何或在哪里可以访问我的OIDC JWT声称元数据以验证其一些条目？我什至已经在我的 vault_jwt_auth_backend_role_role 配置中设置了 verbose_oidc_logging = true true ，但无法弄清楚我可以在哪里访问日志。

以下是Vault_jwt_auth_backend_role配置的完整片段。

resource "vault_jwt_auth_backend_role" "azure" {
  role_name             = var.azure_role_name 
  backend               = vault_jwt_auth_backend.root.path
  user_claim            = "email"
  groups_claim          = "groups" 
  
  bound_claims          = { "groups": "VaultAdmins" }
  
  role_type             = "oidc"
  oidc_scopes           = var.oidc_scopes 
  allowed_redirect_uris = var.allowed_redirect_uris
  verbose_oidc_logging  = "true" 

}

Answer 1

您如何访问令牌取决于应用程序正在使用的流程。

如果是隐式流程，您应该能够在登录过程中看到HTTP请求的有效载荷中的令牌。

如果是授权代码流（可能），则可以使用Postman来形成请求，并且您需要从应用程序的Azure Ad App注册中的一些值。

参数	描述
<代码> tenant_id azure	ad tenant id
client_id	azure ad Application（client）id
client_secret	client client tecret for App
redirect_url	重定向URL发送给令牌的
scopes	API权限该应用程序请求

获取授权代码

使用上述信息以登录到您的应用程序的链接，该链接应编码URL。

https://login.microsoftonline.com/{tenant_Id}/oauth2/v2.0/authorize?client_id={client_id}&redirect_uri={redirect_url}&response_type=code&response_mode=query&scope={scopes}&state=12345

示例

https://login.microsoftonline.com/abcde123-a123-1a23-b9a9-123a456bcd7d/oauth2/v2.0/authorize?response_type=code&redirect_uri=https%3A%2F%2Fapplication.azurewebsites.net%2F.auth%2Flogin%2Faad%2Fcallback&client_id=a1bcde23-a12b-1234-1a2b-1a23456b78cd&scope=openid%20profile%20email&response_mode=query&state=12345

打开一个带有开发人员工具打开的浏览器窗口，并使用链接登录到您的应用程序。 Azure AD成功身份验证您之后，您应该在有效负载中查看带有代码的请求。这是将用于交换令牌的授权代码。复制此值。

进行邮递员调用

方法
发布

url
https://login.microsoftonline.com/ {tenant_id}/oauth2/v2.0/token

标题

键值	content
-type	application/x-www-form-urlcorded

body

键值	code
client_id	client_id
client_secret	client_secret
代码	>代码>代码> code
grant_type	授权
_Coderedirect_url	redirect_url </
scope	> scope scopes

结果

中查看访问令牌和ID令牌

您可以在请求正文 src =“ https://i.sstatic.net/t48xm.png” alt =“在此处输入图像说明”>