Autenticación en Node-RED con Azure AD

Autenticación en App Service de Node-RED

• El objetivo es conocer la autenticación de Node-RED utilizando Azure Active Directory (Azure AD) y tokens JWT (JSON Web Tokens).

Configuración de Azure AD

• Dos tipos de autenticación:
  • Single Sign-On (SSO): Autenticación de usuarios en la interfaz gráfica de Node-RED vía Azure AD.
  • Client Credentials: Autenticación de clientes y servicios en las APIs de Node-RED con credenciales de aplicación.
• Parámetros para validar tokens de Azure AD:
  • JWKS URI: Endpoint que proporciona claves públicas para verificar la firma del token.
  • AUDIENCE: Identificador del recurso al que está destinado el token.
  • ISSUER: Identificador del emisor del token (Azure AD).

Implementación de la Validación de Tokens

• Se implementa un mecanismo de validación para tokens de usuarios y servicios, utilizando jsonwebtoken y jwks-rsa.
• Esto permite recuperar dinámicamente las claves de firma de Azure AD.

Validación Manual del Token

• Función validateToken para una validación detallada de los tokens JWT recibidos.
  • Decodificación del token: Se extrae el contenido del token sin verificar su validez.
  • Verificación de aud y iss: Se comprueba que el token esté destinado a la aplicación correcta y haya sido emitido por Azure AD.
  • Obtención de la clave pública: Se consulta Azure AD para obtener la clave pública utilizada para firmar el token.
  • Validación de la firma: Se utiliza la clave pública para verificar la autenticidad del token.

Autenticación en la Interfaz de Administración de Node-RED

• Se integra passport-azure-ad con el protocolo OpenID Connect para autenticar usuarios en la interfaz de Node-RED.
  • Se utiliza OpenID Connect para autenticar usuarios en Azure AD.
  • Se configuran los metadatos de identidad con la URL de configuración de OpenID de Azure AD.
  • Se obtiene el perfil del usuario y se le asignan permisos según su grupo en Azure AD.

Variables clave:

• identityMetadata: URL del endpoint de metadatos OpenID Connect de Azure AD.
• clientID: Identificador (App ID) de la aplicación registrada en Azure AD.
• clientSecret: Secreto asignado a la aplicación en Azure AD para autenticarla de manera segura.
• redirectUrl: URL a la que se redirige al usuario tras autenticarse.
• adminGroup: Identificador del grupo de usuarios con acceso total.
• readOnlyGroup: Identificador del grupo de usuarios con permisos de solo lectura.
• permissions: Variable asignada según el grupo del usuario ("*" para acceso total o "read" para solo lectura).

Conclusión

• El esquema de autenticación basado en Azure AD y JWT proporciona un sistema de control de acceso robusto y seguro para Node-RED.
  • Autenticación de usuarios vía SSO en la interfaz de administración.
  • Autenticación de aplicaciones cliente en las APIs mediante tokens de client_credentials.
  • Validación de tokens en tiempo real utilizando las claves públicas de Azure AD.
  • Integración de OpenID Connect para una autenticación segura basada en estándares.