NodeJSのサービスプリンシパルを使用してAzureSQLに接続していますが、トークンは拒否されます

Aug 16 2020

NodeJSアプリケーションをサービスプリンシパルを使用してAzureSQLデータベースに接続するのに問題があります。ただし、C＃スニペットで同じことを実行しようとすると、正常に機能します。私が気付いたのは、両方の言語で認証によって返されるトークンが少し異なることです。C＃から正しいトークンを取得してNodeJSにハードコーディングすると、SQL接続が成功します。

最初にms-rest-azureを使用して認証を実行し、clientId、tenantId、およびclientSecretを提供します。これにより、accessTokenを抽出する有効な資格情報が返されます。

次に、面倒な作業を使用して* .database.windows.netでAzureSQLに接続し、構成でaccessToken値を提供しようとしています。

私はちょうど得る「<トークン識別校長>」ユーザーのログインに失敗しました

ms-rest-azureログインで、Azure SQLによって拒否されるトークンを取得するために何が間違っていますか？私が見たものの1つは、作業トークンにdatabase.windows.netのオーディエンスがあることです。これに対して、ms-rest-azureのトークンはmanagement.core.windows.netです。

誰かがここに素晴らしい手がかりを持っているなら、私は数日間立ち往生しています。ms-rest-azureに関するドキュメントはほとんど存在しないようで、AzureSalesページへの回避策を提供するだけです。

const msRestAzure = require('ms-rest-azure');
const { reject } = require('async');


let clientSecret = "xxx";
let serverName = "xxx.database.windows.net";
let databaseName = "xxx";
let clientId = "xxx";
let tenantId = "xxx";

azureCredentials = msRestAzure.loginWithServicePrincipalSecret(clientId, clientSecret, tenantId, function(err, credentials) {
    if (err) return console.log(err);
    credentials.getToken((err, results) => {
        if(err) return reject(err);
        
        let accessToken = results.accessToken;

        var Connection = require('tedious').Connection;
        var Request = require('tedious').Request;

        var config = {
            server: serverName,
            authentication: {
                type: 'azure-active-directory-access-token',
                options: {
                    token: accessToken
                }
            }
            ,options: {
                debug: {
                packet: true,
                data: true,
                payload: true,
                token: false,
                log: true
                },
                database: databaseName,
                encrypt: true
            }  
        };

        var connection = new Connection(config);

        connection.connect();

        connection.on('connect', function(err) {
            if(err) {
                console.log(err);
            }
            executeStatement();
        }
        );

        connection.on('debug', function(text) {
            console.log(text);
        }
        );

        function executeStatement() {
        request = new Request("select * from Text", function(err, rowCount) {
            if (err) {
            console.log(err);
            } else {
            console.log(rowCount + ' rows');
            }

            connection.close();
        });

        request.on('row', function(columns) {
            columns.forEach(function(column) {
            if (column.value === null) {
                console.log('NULL');
            } else {
                console.log(column.value);
            }
            });
        });

        request.on('done', function(rowCount, more) {
            console.log(rowCount + ' rows returned');
        });

        connection.execSql(request);
        }
    });   
})

回答

2 JimXu Aug 18 2020 at 02:34

パッケージ内の証明書を使用してms-rest-azureトークンを取得する場合、デフォルトでは、トークンの対象ユーザーはでありhttps://management.core.windows.net/、Azure RestAPIを呼び出すために使用できます。Azure ADトークンを使用してSQLに接続する場合、トークンの対象ユーザーはである必要がありますhttps://database.windows.net/。したがって、トークンを取得するために使用されるコードを次のように更新する必要があります