Configuración de la autenticación en el agente

El paquete Biblioteca de autenticación de Microsoft del SDK de .NET Agents (MSAL) proporciona herramientas que le ayudan a crear tokens de acceso para clientes de agentes y servicios externos desde un agente autohospedado SDK de agentes de Microsoft 365.

El paquete Microsoft.Agents.Athentication.Msal proporciona la clase MsalAuth, que es el proveedor de autenticación principal. Puede configurarlo para los siguientes tipos de credenciales:

• Inquilino único con secreto de cliente y multiinquilino con secreto de cliente
• Certificado de cliente mediante huella digital
• Certificado de cliente que utiliza el nombre del sujeto (incluido SN+I)
• Identidad Administrada Asignada por el Usuario
• Identidad administrada asignada por el sistema
• Credenciales federadas
• Identidad de la carga de trabajo

Instalación del paquete de autenticación

Instale el paquete de autenticación de MSAL desde NuGet:

dotnet add package Microsoft.Agents.Authentication.Msal

Inquilino único frente a multiinquilino

La autenticación de secretos de cliente admite configuraciones de inquilino único y multiinquilino.

Configuración de una conexión

El paquete de autenticación MSAL permite crear y usar varios clientes distintos con el motor de hospedaje de Agents Framework. Con el paquete de autenticación MSAL, puede proporcionar varias configuraciones de conexión en el archivo de configuración de la aplicación. Cada configuración de conexión se puede usar para crear un cliente de autenticación con nombre para admitir comunicaciones con servicios externos u otros agentes.

Variables de entorno para cada tipo de autenticación

El agente obtiene la configuración de MSAL en tiempo de ejecución de las variables de entorno.

En las secciones siguientes se describen las opciones de configuración necesarias y opcionales para cada uno de los tipos de autenticación admitidos para la autenticación MSAL, junto con fragmentos de código de configuración de ejemplo para cada tipo.

Inquilino único con secreto de cliente

Use estas opciones para configurar una conexión de inquilino único que se autentique con un secreto de cliente.

Este es un ejemplo de appsettings para un solo inquilino ClientSecret:

  "Connections": {
    "ServiceConnection": {
      "Settings": {
        "AuthType": "ClientSecret",
        "ClientId": "{{BOT_ID}}",
        "ClientSecret": "{{BOT_SECRET}}",
        "AuthorityEndpoint": "https://login.microsoftonline.com/{{BOT_TENANT_ID}}",
        "Scopes": [
            "https://api.botframework.com/.default"
          ],
      }
    }
  }

Multiinquilino con secreto de cliente

Use estas opciones para configurar una conexión multiinquilino que se autentique con un secreto de cliente.

Aquí tienes un ejemplo de appsettings para un entorno multiinquilino con secreto de cliente:

  "Connections": {
    "ServiceConnection": {
      "Settings": {
        "AuthType": "ClientSecret",
        "ClientId": "{{BOT_ID}}",
        "ClientSecret": "{{BOT_SECRET}}",
        "AuthorityEndpoint": "https://login.microsoftonline.com/botframework.com",
        "Scopes": [
            "https://api.botframework.com/.default"
          ],
      }
    }
  }

Identidad Administrada Asignada por el Usuario

Use estas opciones para configurar la adquisición de tokens con una identidad administrada asignada por el usuario.

Este es un ejemplo de appsettings para una identidad administrada asignada por el usuario:

  "Connections": {
    "ServiceConnection": {
      "Settings": {
        "AuthType": "UserManagedIdentity",
        "ClientId": "{{BOT_ID}}",
        "Scopes": [
          "https://api.botframework.com/.default"
        ]
      }
    }
  }

Identidad administrada asignada por el sistema

Cuando se usa SystemManagedIdentity, el agente omite cualquier identificador de cliente proporcionado y usa la identidad administrada por el sistema.

Este es un ejemplo de appsettings para el tipo de autenticación de identidad administrada System-Assigned:

  "Connections": {
    "ServiceConnection": {
      "Settings": {
        "AuthType": "SystemManagedIdentity",
        "Scopes": [
          "https://api.botframework.com/.default"
        ]
      }
    }
  }

Credenciales federadas

Use estas opciones para configurar una conexión que intercambia credenciales federadas para tokens de acceso.

Este es un ejemplo de appsettings para Federated Credentials:

  "Connections": {
    "ServiceConnection": {
      "Settings": {
        "AuthType": "FederatedCredentials",
        "ClientId": "{{BOT_ID}}",
        "AuthorityEndpoint": "https://login.microsoftonline.com/{{BOT_TENANT_ID}}",
        "FederatedClientId": "{{BOT_FEDERATED_ID}}",
        "Scopes": [
          "https://api.botframework.com/.default"
        ]
      }
    }
  }

Identidad de la carga de trabajo

Use estas opciones para configurar la autenticación de identidad de carga de trabajo mediante un archivo de token federado.

Aquí tienes un ejemplo de appsettings para un único inquilino WorkloadIdentity:

  "Connections": {
    "ServiceConnection": {
      "Settings": {
        "AuthType": "WorkloadIdentity",
        "ClientId": "{{BOT_ID}}",
        "AuthorityEndpoint": "https://login.microsoftonline.com/{{BOT_TENANT_ID}}",
        "FederatedTokenFile": "{{BOT_FEDERATED_TOKENFILE}}",
        "Scopes": [
          "https://api.botframework.com/.default"
        ]
      }
    }
  }

Credenciales federadas opcionales u opciones de declaración del cliente para la identidad de la carga de trabajo

Use esta configuración opcional para personalizar el contenido de aserción de cliente para las credenciales federadas o los flujos de identidad de carga de trabajo.

  "Connections": {
    "ServiceConnection": {
      "Settings": {
        "AuthType": "WorkloadIdentity",
        "ClientId": "{{BOT_ID}}",
        "AuthorityEndpoint": "https://login.microsoftonline.com/{{BOT_TENANT_ID}}",
        "FederatedTokenFile": "{{BOT_FEDERATED_TOKENFILE}}",
        "Scopes": [
          "https://api.botframework.com/.default"
        ],
        "AssertionRequestOptions": {
            "ClientId": null,
            "TokenEndpoint": null,
            "Claims": null,
            "ClientCapabilities": null,
        }
      }
    }
  }

Certificado que utiliza el nombre del sujeto (incluidos SN+I)

Use estas opciones para configurar la autenticación basada en certificados por nombre del firmante del certificado, incluidos los escenarios de SN+I.

Este es un ejemplo de appsettings para un certificado que usa el nombre del sujeto para Subject Name and Issuer (SNI) y para varios inquilinos:

  "Connections": {
    "ServiceConnection": {
      "Settings": {
        "AuthType": "CertificateSubjectName",
        "ClientId": "{{BOT_ID}}",
        "CertSubjectName": "{{BOT_CERT_SUBJECTNAME}}",
        "SendX5C": true,
        "AuthorityEndpoint": "https://login.microsoftonline.com/botframework.com",
        "Scopes": [
          "https://api.botframework.com/.default"
        ]
      }
    }
  },

Aquí tienes un ejemplo de appsettings para el nombre del sujeto del certificado para SN+I y un solo inquilino:

  "Connections": {
    "ServiceConnection": {
      "Settings": {
        "AuthType": "CertificateSubjectName",
        "ClientId": "{{BOT_ID}}",
        "CertSubjectName": "{{BOT_CERT_SUBJECTNAME}}",
        "SendX5C": true,
        "AuthorityEndpoint": "https://login.microsoftonline.com/{{BOT_TENANT_ID}}",
        "Scopes": [
          "https://api.botframework.com/.default"
        ]
      }
    }
  },

Certificado de cliente mediante huella digital

Use estas opciones para configurar la autenticación basada en certificados mediante la huella digital del certificado.

Este es un ejemplo de appsettings para el certificado mediante la huella digital del certificado:

  "Connections": {
    "ServiceConnection": {
      "Settings": {
        "AuthType": "Certificate",
        "ClientId": "{{BOT_ID}}",
        "CertThumbprint": "{{BOT_CERT_THUMBPRINT}}",
        "AuthorityEndpoint": "https://login.microsoftonline.com/botframework.com",
        "Scopes": [
          "https://api.botframework.com/.default"
        ]
      }
    }
  },

Proveedor de configuración predeterminado para MSAL

Para facilitar la configuración, proporcionamos una extensión del proveedor de servicios para agregar las opciones de configuración predeterminadas de MSAL al agente.

Aquí tiene un ejemplo del proveedor predeterminado de configuración de MSAL para un host de ASP.NET Core en una clase Program.cs.

Esto se administra mediante la instancia registrada IConnections. La IConnections instancia se agrega de forma predeterminada cuando se usa AddAgent.

// Register your AgentApplication
builder.AddAgent<MyAgent>();

Sin embargo, si no usa AddAgent, debe registrar explícitamente la IConnections instancia.

    // Add Connections object to access configured token connections.
    builder.Services.AddSingleton<IConnections, ConfigurationConnections>();

Más opciones de configuración de MSAL

Hay varias opciones de configuración compartidas que controlan la configuración general para adquirir tokens de Microsoft Entra Identity.

Estos valores son:

Use la siguiente configuración compartida para controlar el tiempo de espera de la solicitud MSAL, el comportamiento de reintento y los detalles de registro.

Esta configuración se comparte con todos los clientes que crean mediante el proveedor de autenticación msal. Esta configuración está pensada para leerse mediante un lector IConfiguration, desde una sección de configuración denominada "MSALConfiguration".

Este es un ejemplo de la entrada en un appsettings.json archivo:

{
  "MSALConfiguration": {
    "MSALEnabledLogPII": "true",
    "MSALRequestTimeout": "00:00:40",
    "MSALRetryCount": "1"
  },
}

En este caso, este bloque de configuración indicaría a todos los clientes MSAL creados con el proveedor de MSAL que habilitaran el registro de datos personales, establecerían el tiempo de espera en 40 segundos y reducirían el número de reintentos a 1.

Esta extensión busca una sección de configuración denominada "MSALConfiguration" en el IConfiguration objeto y crea un objeto de configuración de MSAL a partir de él.

Si no se encuentra la sección MSALConfig, crea el objeto de configuración de MSAL con valores predeterminados.

    // Add default agent MsalAuth support
    builder.Services.AddDefaultMsalAuth(builder.Configuration);

    // Register your AgentApplication
    builder.AddAgent<MyAgent>();

Soporte de registro para autenticación

El sistema de autenticación MSAL permite el registro independiente de flujos de autenticación para la integración de telemetría si necesita solucionar problemas de adquisición de tokens.

Para habilitar el registro, añada una entrada para Microsoft.Agents.Authentication.Msal a la configuración de la aplicación para configurar un ILogger que informe sobre las operaciones con tokens de sus conexiones. Si agrega la MSALEnabledLogPII opción , esto también incluye datos personales para la conexión.

Este es un ejemplo del bloque de registro en este caso:

  "Logging": {
    "LogLevel": {
      "Default": "Warning",
      "Microsoft.Agents": "Warning",
      "Microsoft.Hosting.Lifetime": "Information",
      "Microsoft.Agents.Authentication.Msal": "Trace"
    }
  }

En este caso, el registro está habilitado para varios módulos, como Microsoft.Agents.Authentication.Msal, donde el nivel de seguimiento es "Seguimiento" para MSAL.

El SDK de JavaScript requiere authenticationProvider para obtener tokens web JSON (JWT) para enviar actividades al canal de destino. Para obtener más información, consulte Tokens de acceso de la plataforma de identidad de Microsoft.

El paquete @microsoft/agents-hosting proporciona un proveedor de autenticación predeterminado basado en Biblioteca de autenticación de Microsoft (MSAL). Puede configurarlo para los siguientes tipos de autenticación:

• Inquilino único con secreto de cliente
• Multiinquilino con secreto de cliente
• Identidad administrada por el usuario
• identidad administrada por el sistema
• Credenciales federadas
• Identidad de la carga de trabajo
• Certificado

Instalación del paquete de autenticación

Instale el paquete de autenticación de MSAL desde npm:

npm install @microsoft/agents-hosting

Inquilino único frente a multiinquilino

El secreto de cliente y la autenticación de certificados de cliente admiten configuraciones de inquilino único y multiinquilino.

La identidad administrada asignada por el usuario, la identidad administrada del sistema, las credenciales federadas y la identidad de carga de trabajo solo admiten configuraciones de inquilino único.

Configuración de una conexión

La biblioteca de autenticación de MSAL permite crear y usar varios clientes distintos con el motor de hospedaje de Agents Framework. Mediante el uso de la biblioteca de autenticación de MSAL, puede proporcionar varias configuraciones de conexión en el archivo de configuración de la aplicación. Cada configuración de conexión puede crear un cliente de autenticación con nombre para admitir comunicaciones con servicios externos u otros agentes.

En las secciones siguientes se describen las opciones de configuración necesarias y opcionales para cada uno de los tipos de autenticación admitidos para el proveedor de autenticación MSAL. También incluyen fragmentos de código de configuración de ejemplo para cada tipo.

Variables de entorno para cada tipo de autenticación

El agente obtiene la configuración de MSAL en tiempo de ejecución a partir de variables de entorno mediante la función auxiliar loadAuthConfigFromEnv(): AuthConfiguration. CloudAdapter se inicializa con AuthConfiguration.

La configuración de conexión usa el formato CONNECTIONS__<CONNECTION_NAME>__SETTINGS__<PROPERTY>.

Cuando AUTHTYPE está presente, el SDK usa ese valor para seleccionar el flujo de adquisición de tokens. Cuando AUTHTYPE se omite, el SDK vuelve al comportamiento heredado e deduce el flujo de autenticación de las propiedades de credenciales configuradas.

Inquilino único con secreto de cliente

Use estas opciones para configurar una conexión de inquilino único que se autentique con un secreto de cliente.

CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHTYPE=ClientSecret
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CLIENTID={app-id-guid}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CLIENTSECRET={app-registration-secret}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__TENANTID={tenant-id-guid}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__SCOPE=https://api.botframework.com

El inquilino único con secreto de cliente es la configuración recomendada para el desarrollo local.

Multiinquilino con secreto de cliente

Para escenarios de varios inquilinos que usan un secreto de cliente, establezca el punto de conexión de la autoridad en el inquilino botframework.com:

CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHTYPE=ClientSecret
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CLIENTID={app-id-guid}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CLIENTSECRET={app-registration-secret}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHORITY=https://login.microsoftonline.com/botframework.com
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__SCOPE=https://api.botframework.com

UserManagedIdentity

Use estas opciones para configurar la adquisición de tokens con una identidad administrada asignada por el usuario.

CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHTYPE=UserManagedIdentity
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CLIENTID={managed-identity-client-id}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__SCOPE=https://api.botframework.com

Identidad administrada es la configuración recomendada para escenarios de producción. Para más información, consulte Identidades administradas para recursos de Azure.

SystemManagedIdentity

Si usa el tipo SystemManagedIdentityde autenticación , se omite el identificador de cliente y se usa la identidad administrada por el sistema para el servicio.

CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHTYPE=SystemManagedIdentity
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__SCOPE=https://api.botframework.com

FederatedCredentials

Use estas opciones para configurar una aplicación de inquilino único que se autentique a través de credenciales federadas.

CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHTYPE=FederatedCredentials
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CLIENTID={app-id-guid}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__TENANTID={tenant-id-guid}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHORITY=https://login.microsoftonline.com/{tenant-id-guid}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__FICCLIENTID={managed-identity-client-id}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__SCOPE=https://api.botframework.com

Para obtener más información, consulte Autenticación mediante credenciales de identidad federada.

WorkloadIdentity

Use esta configuración para configurar la adquisición de tokens mediante Microsoft Entra Workload Identity.

CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHTYPE=WorkloadIdentity
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CLIENTID={app-id-guid}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__TENANTID={tenant-id-guid}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHORITY=https://login.microsoftonline.com/{tenant-id-guid}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__FEDERATEDTOKENFILE=/var/run/secrets/azure/tokens/azure-identity-token
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__SCOPE=https://api.botframework.com

Inquilino único con certificado de cliente

Use estas opciones para configurar una conexión de inquilino único que se autentique con un certificado de cliente.

CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHTYPE=Certificate
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CLIENTID={app-id-guid}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__TENANTID={tenant-id-guid}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CERTPEMFILE={path-to-pem-file}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CERTKEYFILE={path-to-key-file}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__SCOPE=https://api.botframework.com

Multiinquilino con certificado de cliente

Para escenarios de varios inquilinos que usan un certificado de cliente, establezca el punto de conexión de la autoridad en el inquilino botframework.com:

CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHTYPE=Certificate
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CLIENTID={app-id-guid}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CERTPEMFILE={path-to-pem-file}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CERTKEYFILE={path-to-key-file}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHORITY=https://login.microsoftonline.com/botframework.com
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__SCOPE=https://api.botframework.com

Compatibilidad con versiones anteriores con el SDK de Azure Bot Framework

Para cargar la configuración con el mismo formato que el SDK de Bot Framework de Azure, use loadPrevAuthConfigFromEnv(): AuthConfiguration.

Use estos nombres de configuración heredados al migrar las configuraciones existentes de Bot Framework SDK.

MicrosoftAppTenantId={tenant-id-guid}
MicrosoftAppId={app-id-guid}
MicrosoftAppPassword={app-registration-secret}

Proveedor de autenticación personalizado

Los usuarios que requieren un proveedor de autenticación personalizado pueden implementar la interfaz:

export interface AuthProvider {
  getAccessToken: (authConfig: AuthConfiguration, scope: string) => Promise<string>
}

Por ejemplo, implemente AuthProvider mediante @azure/identity:

import { EnvironmentCredential } from "@azure/identity"
import { AuthProvider, AuthConfiguration } from "@microsoft/agents-hosting"
class DevTokenProvider implements AuthProvider {
  async getAccessToken(authConfig: AuthConfiguration): Promise<string> {
    const id = new EnvironmentCredential()
    const tokenResponse = await id.getToken("https://api.botframework.com/.default")
    return tokenResponse.token
  }

Para crear una instancia de CloudAdapter mediante DevTokenProvider

const adapter = new CloudAdapter(authConfig, new DevTokenProvider())

amework.com/.default") devuelve tokenResponse.token }

To instantiate the `CloudAdapter` by using the `DevTokenProvider`

```ts
const adapter = new CloudAdapter(authConfig, new DevTokenProvider())

El paquete Biblioteca de autenticación de Microsoft del SDK de agentes de Python (MSAL) proporciona herramientas que le ayudan a crear tokens de acceso para clientes de agentes y servicios externos desde un agente autohospedado SDK de agentes de Microsoft 365.

El microsoft-agents-authentication-msal paquete proporciona la MsalAuth clase , que es el proveedor de autenticación principal. Puede configurarlo para los siguientes tipos de credenciales:

• Secreto de cliente
• Certificado de cliente
• Identidad Administrada Asignada por el Usuario
• Identidad administrada asignada por el sistema

Instalación del paquete de autenticación

Instale el paquete de autenticación de MSAL desde PyPI:

pip install microsoft-agents-authentication-msal

Inquilino único frente a multiinquilino

El secreto de cliente y la autenticación de certificados de cliente admiten configuraciones de inquilino único y multiinquilino.

La identidad administrada asignada por el usuario y la identidad administrada asignada por el sistema solo admiten configuraciones de un solo inquilino.

Configuración de una conexión

La biblioteca de autenticación de MSAL permite crear y usar varios clientes distintos con el motor de hospedaje de Agents Framework. Cada configuración de conexión crea un cliente de autenticación con nombre para admitir comunicaciones con servicios externos u otros agentes.

Proporcionar la configuración mediante variables de entorno que utilicen la convención de nombres con doble subrayado (__) para opciones de configuración anidadas. La MsalConnectionManager clase lee estas variables para construir AgentAuthConfiguration instancias para cada conexión con nombre.

Variables de entorno para cada tipo de autenticación

El agente obtiene la configuración de MSAL en tiempo de ejecución a partir de variables de entorno mediante la función auxiliar load_configuration_from_env().

En las secciones siguientes se describen las opciones de configuración necesarias para cada uno de los tipos de autenticación admitidos, junto con fragmentos de código de variables de entorno de ejemplo para cada tipo.

Inquilino único con secreto de cliente

Use estas opciones para configurar una conexión de inquilino único que se autentique con un secreto de cliente.

CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHTYPE=ClientSecret
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CLIENTID={app-id-guid}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CLIENTSECRET={app-registration-secret}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__TENANTID={tenant-id-guid}

El inquilino único con secreto de cliente es la configuración recomendada para el desarrollo local.

Multiinquilino con secreto de cliente

Para escenarios de varios inquilinos que usan un secreto de cliente, establezca el punto de conexión de la autoridad en el inquilino botframework.com:

CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHTYPE=ClientSecret
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CLIENTID={app-id-guid}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CLIENTSECRET={app-registration-secret}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHORITY=https://login.microsoftonline.com/botframework.com

Identidad Administrada Asignada por el Usuario

Use estas opciones para configurar la adquisición de tokens con una identidad administrada asignada por el usuario.

CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CLIENTID={managed-identity-client-id}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHTYPE=UserManagedIdentity

Identidad administrada es la configuración recomendada para escenarios de producción. Para más información, consulte Identidades administradas para recursos de Azure.

Identidad administrada asignada por el sistema

Si usa el tipo SystemManagedIdentityde autenticación , se omite el identificador de cliente y se usa la identidad administrada por el sistema para el servicio.

CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHTYPE=SystemManagedIdentity

Inquilino único con certificado de cliente

Use estas opciones para configurar una conexión de inquilino único que se autentique con un certificado de cliente.

CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHTYPE=certificate
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CLIENTID={app-id-guid}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__TENANTID={tenant-id-guid}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CERTPEMFILE={path-to-pem-file}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CERTKEYFILE={path-to-key-file}

Multiinquilino con certificado de cliente

Para escenarios de varios inquilinos que usan un certificado de cliente, establezca el punto de conexión de la autoridad en el inquilino botframework.com:

CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHTYPE=certificate
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CLIENTID={app-id-guid}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CERTPEMFILE={path-to-pem-file}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__CERTKEYFILE={path-to-key-file}
CONNECTIONS__SERVICE_CONNECTION__SETTINGS__AUTHORITY=https://login.microsoftonline.com/botframework.com

Configuración del administrador de conexiones

La MsalConnectionManager clase puede administrar varias conexiones de autenticación para el agente. Lee las configuraciones de conexión y crea MsalAuth instancias para cada conexión con nombre.

Este es un ejemplo de cómo configurar el administrador de conexiones e iniciar el agente:

from os import environ

from microsoft_agents.hosting.aiohttp import start_agent_process, CloudAdapter
from microsoft_agents.hosting.core import Authorization, AgentApplication, TurnState, MemoryStorage

from dotenv import load_dotenv
from aiohttp.web import Request, Response, Application, run_app
from microsoft_agents.authentication.msal import MsalConnectionManager
from microsoft_agents.activity import load_configuration_from_env

def start_server(
    agent_application: AgentApplication, auth_configuration: AgentAuthConfiguration
):
    async def entry_point(req: Request) -> Response:
        agent: AgentApplication = req.app["agent_app"]
        adapter: CloudAdapter = req.app["adapter"]
        return await start_agent_process(req, agent, adapter)

    APP = Application()
    APP.router.add_post("/api/messages", entry_point)
    APP["agent_configuration"] = auth_configuration
    APP["agent_app"] = agent_application
    APP["adapter"] = agent_application.adapter

    try:
        run_app(APP, host="localhost", port=environ.get("PORT", 3978))
    except Exception as error:
        raise error

load_dotenv()
agents_sdk_config = load_configuration_from_env(environ)

STORAGE = MemoryStorage()
CONNECTION_MANAGER = MsalConnectionManager(**agents_sdk_config)
ADAPTER = CloudAdapter(connection_manager=CONNECTION_MANAGER)
AUTHORIZATION = Authorization(STORAGE, CONNECTION_MANAGER, **agents_sdk_config)

AGENT_APP = AgentApplication[TurnState](
    storage=STORAGE, adapter=ADAPTER, authorization=AUTHORIZATION, **agents_sdk_config
)

start_server(
    agent_application=AGENT_APP, auth_configuration=CONNECTION_MANAGER.get_default_connection_configuration()
)

Consulte el ejemplo de inicio rápido Python para obtener un ejemplo completo del uso de MsalConnectionManager en un agente de Python.

Proveedor de autenticación personalizado

Los usuarios que requieren un proveedor de autenticación personalizado pueden implementar la AccessTokenProviderBase clase base:

from microsoft_agents.hosting.core import AccessTokenProviderBase

class CustomAuthProvider(AccessTokenProviderBase):
    async def get_access_token(
        self, resource_url: str, scopes: list[str], force_refresh: bool = False
    ) -> str:
        # Implement custom token acquisition logic
        token = await your_custom_token_logic(resource_url, scopes)
        return token

Soporte de registro para autenticación

El sistema de autenticación MSAL usa el módulo estándar Python logging bajo el nombre del registrador microsoft_agents.authentication.msal. Para habilitar el registro detallado de flujos de autenticación para solucionar problemas de adquisición de tokens, configure el registrador en la aplicación:

import logging

logging.basicConfig(level=logging.WARNING)
logging.getLogger("microsoft_agents.authentication.msal").setLevel(logging.DEBUG)