Autenticación OWIN con Microsoft Entra ID en ASP.NET Framework

Este artículo explica cómo asegurar una aplicación ASP.NET Framework usando middleware OWIN y autenticación con Microsoft Entra ID también conocida como Azure AD. Se describe un flujo completo para proteger endpoints sensibles y mantener checks de salud públicos que permiten que los balanceadores de carga verifiquen el servicio sin autenticación.

Requisitos mínimos: Visual Studio 2022 y una suscripción de Azure. Es recomendable contar con experiencia básica en MVC y administración de App Services en Azure.

Creación del App Service: dentro del portal de Azure crear un recurso de tipo Web App. Seleccionar la suscripción, crear o elegir un resource group, asignar un nombre a la aplicación y seleccionar runtime ASP.NET v4.8. Elegir región y plan según necesidades y publicar directamente desde Visual Studio 2022.

Configurar dominio por defecto: una vez creado el App Service copiar el Default Domain que proporciona Azure para usarlo como Redirect URI en el registro de la aplicación.

Registrar la aplicación en Microsoft Entra ID: en el portal de Azure navegar a Microsoft Entra ID administrar App Registrations y crear un nuevo registro. Indicar nombre, alcance de tenants que pueden acceder y configurar la URI de redirección usando la URL del App Service como tipo Web.

Configurar autenticación en el registro: en la sección Authentication activar el uso de ID tokens y Access tokens según los flujos implícitos o híbridos que se vayan a soportar.

Crear el proyecto en Visual Studio 2022: crear nuevo proyecto ASP.NET Web Application con .NET Framework 4.8 y plantilla MVC. Elegir sin autenticación en el asistente porque Azure y OWIN gestionarán la autenticación.

Instalar dependencias NuGet necesarias: añadir los paquetes Microsoft.Owin.Security.OpenIdConnect Microsoft.Owin.Security.Cookies Microsoft.Owin.Host.SystemWeb y Microsoft.IdentityModel.Protocols.OpenIdConnect. Estos paquetes permiten integrar OWIN con OpenID Connect y cookies de sesión.

Configuración de aplicación: en la sección de configuración de la aplicación en Azure y en web config del proyecto registrar los valores principales obtenidos del registro en Entra ID como client id tenant id y redirect uri. En web config mantener authentication mode None y targetFramework 4.8 y añadir las claves necesarias en appSettings para que Startup las lea en tiempo de ejecución.

Startup y middleware OWIN: crear un archivo Startup.cs en la raíz para configurar el pipeline de OWIN. Configurar la cookie por defecto como esquema de firma de sesión y activar OpenIdConnect con los parámetros client id authority y redirect uri leídos desde la configuración. Incluir scope abierto para openid profile email y gestionar tokens según la política de validación de emisores que aplique al entorno multi tenant o single tenant.

Controladores y endpoints: crear al menos dos controladores. Un HealthCheckController decorado con AllowAnonymous para exponer endpoints como index o ping que devuelvan un 200 y permitan a balanceadores y plataformas de monitorización comprobar salud sin autenticación. Y un ProtectedController decorado con Authorize que exponga páginas y servicios JSON que solo usuarios autenticados en el tenant puedan consumir.

Vistas y experiencia de usuario: en la vista protegida mostrar información básica del usuario autenticado como User.Identity.Name y mensajes que indiquen que el acceso necesitó autenticación con Entra ID. Ofrecer enlaces de login y logout si procede, manejando la redirección hacia el endpoint de Azure AD.

Publicación en Azure: desde Visual Studio publicar en el App Service creado seleccionando el recurso correspondiente en la suscripción. Verificar que las configuraciones de Redirect URI coinciden entre App Service y registro de Entra ID.

Pruebas y verificación: comprobar que el endpoint de health check responde 200 sin autenticación. Acceder a páginas protegidas y verificar que usuarios dentro del tenant pueden iniciar sesión y ver contenido protegido y que usuarios no autorizados reciben acceso denegado.

Buenas prácticas: mantener secretos y certificados fuera del control de versiones usando Azure Key Vault o configuraciones de App Service; limitar scopes y permisos solicitados; y habilitar logging y telemetría para auditoría y detección de anomalías.

Cómo puede ayudar Q2BSTUDIO: en Q2BSTUDIO somos una empresa de desarrollo de software especializada en aplicaciones a medida y software a medida con experiencia en integración de identidades y seguridad en la nube. Ofrecemos servicios completos desde arquitectura hasta despliegue en la nube y apoyo en seguridad. Si necesita apoyo para desplegar soluciones seguras en Azure podemos ayudarle con servicios gestionados en la nube y optimización de autenticación. Conozca nuestros servicios de despliegue y migración en la nube en servicios cloud aws y azure y nuestras capacidades de desarrollo en desarrollo de aplicaciones y software a medida.

Además de seguridad y autenticación, Q2BSTUDIO ofrece soluciones de inteligencia artificial para empresas agentes IA y servicios de inteligencia de negocio y Power BI para transformar datos en decisiones. También proveemos servicios de ciberseguridad y pruebas de intrusión para proteger sus aplicaciones y datos.

Palabras clave relevantes: aplicaciones a medida software a medida inteligencia artificial ciberseguridad servicios cloud aws y azure servicios inteligencia de negocio ia para empresas agentes IA power BI.

Resumen: con OWIN y Microsoft Entra ID se puede proteger una aplicación ASP.NET Framework de forma eficaz manteniendo endpoints públicos para monitorización. Esta arquitectura facilita la integración con App Service en Azure y permite aplicar políticas de acceso centralizadas. Si requiere ayuda en la implementación segura o en proyectos de software a medida contacte con Q2BSTUDIO para una consultoría especializada.