Microsoft ID 플랫폼 및 OAuth 2.0 디바이스 권한 부여 흐름

Microsoft ID 플랫폼은 사용자가 스마트 TV, IoT 디바이스 또는 프린터와 같은 입력 제한 디바이스에 로그인할 수 있도록 하는 디바이스 권한 부여를 지원합니다. 이 흐름을 사용하도록 설정하기 위해 디바이스는 사용자가 다른 디바이스의 브라우저에서 웹 페이지를 방문하여 로그인하도록 합니다. 사용자가 로그인하면 디바이스는 필요에 따라 액세스 토큰을 가져오고 토큰을 새로 고칠 수 있습니다.

이 문서에서는 애플리케이션의 프로토콜에 대해 직접 프로그래밍하는 방법을 설명합니다. 가능하면 지원되는 Microsoft 인증 라이브러리(MSAL)를 사용하여 토큰을 획득하고 보안 웹 API를 호출하는 것이 좋습니다. 예제에 대해 MSAL을 사용하는 샘플 앱을 참조할 수 있습니다.

프로토콜 다이어그램

전체 디바이스 코드 흐름은 다음 다이어그램에 나와 있습니다. 각 단계는 이 문서 전체에서 설명합니다.

디바이스 권한 부여 요청

클라이언트는 먼저 인증 서버에서 인증을 시작하는 데 사용되는 디바이스 및 사용자 코드를 확인해야 합니다. 클라이언트는 엔드포인트에서 /devicecode 이 요청을 수집합니다. 요청에서 클라이언트는 사용자로부터 획득하는 데 필요한 권한도 포함해야 합니다.

요청이 전송되는 순간부터 사용자는 로그인하는 데 15분이 걸립니다. AutoSizeMode의 기본값입니다. 요청은 사용자가 로그인할 준비가 되었음을 나타내는 경우에만 이루어져야 합니다.

// Line breaks are for legibility only.

POST https://login.microsoftonline.com/{tenant}/oauth2/v2.0/devicecode
Content-Type: application/x-www-form-urlencoded

client_id=00001111-aaaa-2222-bbbb-3333cccc4444
&scope=user.read%20openid%20profile

디바이스 권한 부여 응답

성공적인 응답은 사용자가 로그인할 수 있도록 하는 데 필요한 정보를 포함하는 JSON 개체입니다.

사용자 인증

클라이언트가 수신 user_code 하고 verification_uri나면 값이 표시되고 사용자가 모바일 또는 PC 브라우저를 통해 로그인하도록 지시됩니다.

사용자가 개인 계정으로 인증하는 경우 인증 /common/consumers상태를 디바이스로 전송하기 위해 다시 로그인하라는 메시지가 표시됩니다. 디바이스가 사용자의 쿠키에 액세스할 수 없기 때문입니다. 클라이언트가 요청한 권한에 동의하라는 메시지가 표시됩니다. 그러나 인증하는 데 사용되는 회사 또는 학교 계정에는 적용되지 않습니다.

사용자가 인증verification_uri하는 동안 클라이언트는 다음을 사용하여 /token요청된 토큰에 대한 엔드포인트를 폴링 device_code 해야 합니다.

POST https://login.microsoftonline.com/{tenant}/oauth2/v2.0/token
Content-Type: application/x-www-form-urlencoded

grant_type=urn:ietf:params:oauth:grant-type:device_code&client_id=00001111-aaaa-2222-bbbb-3333cccc4444&device_code=GMMhmHCXhWEzkobqIHGG_EnNYYsAkukHspeYUk9E8...

예상 오류

디바이스 코드 흐름은 폴링 프로토콜이므로 사용자 인증이 완료되기 전에 클라이언트에 제공된 오류를 예상해야 합니다.

성공적인 인증 응답

성공한 토큰 응답은 다음과 같습니다.

{
    "token_type": "Bearer",
    "scope": "User.Read profile openid email",
    "expires_in": 3599,
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6Ik5HVEZ2ZEstZnl0aEV1Q...",
    "refresh_token": "AwABAAAAvPM1KaPlrEqdFSBzjqfTGAMxZGUTdM0t4B4...",
    "id_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJub25lIn0.eyJhdWQiOiIyZDRkMTFhMi1mODE0LTQ2YTctOD..."
}

새로 고침 토큰을 사용하여 OAuth 코드 흐름 설명서에 설명된 것과 동일한 흐름을 사용하여 새 액세스 토큰을 획득하고 토큰을 새로 고칠 수 있습니다.