Authentifizierung mit JSON Web Tokens

Überblick über den Authentifizierungsprozess

JSON Web Token (JWT) ist ein Format für die sichere Übertragung von Daten zwischen dem ABBYY FlexiCapture 12 Application Server und Diensten von Drittanbietern. Bei der Authentifizierung über JWT werden keine Identifikationsdaten an den Application Server übermittelt. Die Authentifizierung erfolgt über einen Drittanbieterdienst, woraufhin der Application Server darüber informiert wird, dass der Benutzer von einem vertrauenswürdigen Dienst authentifiziert wurde.

Implementierung

JSON-Daten abrufen

Die JSON-Daten sehen wie folgt aus.

{"alg":"RS256","kid":"-JLCtyyTyF69AZrtjpk-xGs-nUE","x5t":"-JLCtyyTyF69AZrtjpk-xGs-nUE","typ":"JWT"}
{"nameid":"user","nbf":1572267172,"exp":1572267772,"iss":"ABBYY","aud":"test JWT app"}

JSON-Daten mit Benutzerzertifikaten werden Base64-kodiert, um ein JSON Web Token (JWT) zu erstellen. Das folgende Beispiel erstellt ein JWT-Token:

using System.IdentityModel.Tokens.Jwt;
using System.Security.Cryptography.X509Certificates;
…

static string createEncryptedJwtToken(
    X509Certificate2 encryptCert,
    string issuer,
    string audience,
    string nameid,
    TimeSpan expirationTimespan )
{
    X509SigningCredentials signingCredentials = new X509SigningCredentials( encryptCert );
    JwtHeader jwtHeader = new JwtHeader( signingCredentials );
    var claims = new Claim[]
    {
        new Claim( "nameid", nameid )
    };
    var now = DateTime.UtcNow;
    JwtSecurityToken newToken = new JwtSecurityToken(
        issuer,
        audience,
        claims,
        now,
        now.Add( expirationTimespan ),
        signingCredentials
    );
    var token = new JwtSecurityTokenHandler().WriteToken(newToken);
    return token;
}

Senden Sie ein JWT an den Application Server

Senden Sie das JWT in einer POST-Anfrage an https://<ApplicationServer>/Flexicapture12/Server/jwt. Fügen Sie für einen tenant die Mandantenkennung zur URL hinzu, zum Beispiel https://<ApplicationServer>/Flexicapture12/Server/jwt?Tenant=MyTenantName.

static async Task<string> AuthenticateByJwtAsync( string jwtToken )
{
    var fields = new Dictionary<string, string>
    {
        { "JwtToken", jwtToken }
    };
    FormUrlEncodedContent content = new FormUrlEncodedContent( fields );
    using ( var client = new HttpClient() )
    {
        HttpResponseMessage response = await client.PostAsync( jwtServiceUrl, content );
        if ( response.StatusCode == HttpStatusCode.OK )
        {
            return response.Headers.GetValues( "AuthTicket" )?.First() ?? throw new Exception( "AuthTicket header not found" );
        }
        else
        {
            throw new Exception( await response.Content.ReadAsStringAsync() );
        }
    }
}

Für die Authentifizierung muss auf dem Application Server ein passender Benutzer registriert sein. Sein Login muss mit dem Bezeichner im JWT übereinstimmen, der im Knotenwert nameid enthalten ist. Der Application Server gibt eine Antwort wie folgt zurück:

<?xml version="1.0" encoding="utf-8" ?>
<authTicket>
    <userName>user</userName>
    <ticket>79BB391216E9BBA3DA13E5F29669FF1EB48C387C8FDE41D473AA5698A2E16A8B6E91470F05F3C2FBF685630FD7683DC2FA42A900A007CFAD1AD310FEE1ADADFC</ticket>
</authTicket>

Der Wert im Feld ticket ist das authentifizierte ABBYY FlexiCapture 12-Ticket. Sie können dieses Ticket verwenden, um Aufrufe an alle Schnittstellen des Application Server auszuführen, die eine Authentifizierung erfordern. Auf Services sollte über die ABBYY FlexiCapture-Authentifizierung zugegriffen werden, also über Adressen, die mit https://<ApplicationServer>/flexicapture12/Server/FCAuth/ oder https://<ApplicationServer>/flexicapture12/Server/MobileApp/ beginnen.

Verwenden Sie ein authentifiziertes ABBYY FlexiCapture 12-Ticket

Senden Sie ein authentifiziertes ABBYY FlexiCapture 12-Ticket mit einem Authorization: Bearer-Header an den Server. Eine Cookie-Datei namens FlexiCaptureTmpPrn funktioniert ebenfalls, wird jedoch nur aus Gründen der Abwärtskompatibilität unterstützt. Zum Beispiel:

Authorization: Bearer 82BD00C6601EB7F8EF4265450F934D4103C5CA2F010DE1C5FAB4CC830A82300C743D09E5477279733F283D0B6E1C93ACC30FE353D4D9396649965432AAA7994078C3CC63567A95A35E03DA6FDE020F57

Ein vertrauenswürdiges Zertifikat auf dem Application Server einrichten

Der Application Server überprüft die vom Identitätsanbieter empfangenen Daten. Damit der Application Server diesen Daten vertraut, müssen sie mit einem benutzerdefinierten Zertifikat signiert werden. Die ausstellende Zertifizierungsstelle muss in der Datenbank vertrauenswürdiger Zertifizierungsstellen des Application Server aufgeführt sein. Importieren Sie das Zertifikat in die ABBYY FlexiCapture-Datenbank. Der Application Server überprüft die Daten anschließend anhand dieses Zertifikats. Weitere Informationen finden Sie unter Single Sign-On einrichten. Wenn die Überprüfung fehlschlägt, greift der Application Server auf den Parameter AllowMixedModeCertificateValidation unter <appSettings> in der Datei Web.config zurück. Wenn dieser Parameter auf true gesetzt ist, wird für die Überprüfung das Zertifikat im Ordner Vertrauenswürdige Stammzertifizierungsstellen verwendet. Dieser Ordner befindet sich im Zertifikatspeicher „Lokaler Computer“ auf dem Computer, auf dem der Application Server ausgeführt wird. Wenn die Datenbank keine Zertifikate enthält, wird für die Überprüfung stattdessen das Zertifikat im Ordner Vertrauenswürdige Stammzertifizierungsstellen verwendet. Der Parameter AllowMixedModeCertificateValidation wird dann ignoriert. Ein Beispielprojekt und die zugehörigen Materialien sind als JWT_Example.zip verfügbar.

​Überblick über den Authentifizierungsprozess

​Implementierung

​JSON-Daten abrufen

​Senden Sie ein JWT an den Application Server

​Verwenden Sie ein authentifiziertes ABBYY FlexiCapture 12-Ticket

​Ein vertrauenswürdiges Zertifikat auf dem Application Server einrichten