Gateway — access token Microsoft Entra (Modo B)

Guia para DevOps e clientes que exigem Access Token Entra (aud = api://{app-id}) no API Gateway, em vez do JWT ECOSIF (Modo A).

Código tarefa: AUTH-09 · P7-06
Público: administradores Entra ID, DevOps, arquitetos de integração
Pré-requisitos: App Registration com API exposta (ver runbook Azure Entra §3)

Quando usar

Regra: ECOSIF_API_TOKEN_MODE e ECOSIF_AUTH_PROVIDER devem estar alinhados em Angular, backends e gateway.

Visão geral do fluxo

Login (uma vez)
  Angular/MSAL popup → id_token
  → POST /api/auth/external-login { provider: "AZURE_ENTERPRISE", token: "<id_token>" }
  → ecosif-auth valida id_token, provisiona gr_user + identity_provider_link
  → resposta { accessToken: <JWT_ECOSIF> }  ← sessão/guard Angular apenas

APIs de negócio (cada requisição)
  Angular acquireTokenSilent → access_token (aud = api://{client-id})
  → Authorization: Bearer <access_token>
  → API Gateway valida JWKS Entra (aud, iss, exp)
  → microsserviço valida o mesmo token (OAuth2 Resource Server)
  → resolve usuário: claim oid/sub → identity_provider_link → gr_user

Dois tokens Microsoft coexistem:

O JWT ECOSIF não trafega nas APIs de negócio no Modo B.

Variáveis de ambiente

Stack completa (compose / ECS)

# Modo B — obrigatório alinhar em todos os serviços + Angular
ECOSIF_API_TOKEN_MODE=AZURE_ENTERPRISE_GATEWAY
ECOSIF_AUTH_PROVIDER=AZURE_ENTERPRISE

# Gateway — documentação/ops (≤32 chars)
ECOSIF_GWVAL_JWT_ECOSIF=false
ECOSIF_GWVAL_ACCESSTOKEN_MS=true

# Entra — mesmos valores do runbook Azure
ECOSIF_AZURE_CLIENT_ID=<application-client-id>
ECOSIF_AZURE_TENANT_ID=<directory-tenant-id>
ECOSIF_AZURE_AUTHORITY=https://login.microsoftonline.com/<tenant-id>
ECOSIF_AZURE_SCOPES=openid,profile,email,api://<client-id>/access_as_user
ECOSIF_AZURE_API_AUDIENCE=api://<client-id>

# Angular
ECOSIF_ENABLE_AZURE_AUTH=true
ECOSIF_ENABLE_LOCAL_AUTH=false   # típico em SSO obrigatório

Backends Java (application.yml → ecosif.security.*)

Microsserviços afetados: ecosif-auth, ecosif-masterdata, ecosif-moviments, ecosif-querys, ecosif-reports.

Validação no gateway

Parâmetros JWT (access token)

Rotas públicas (sem access token)

• POST */api/auth/external-login
• POST */api/auth/signin (se ECOSIF_ENABLE_LOCAL_AUTH=true)
• GET */actuator/health*
• Assets do Angular (/, /assets/*)

Rotas protegidas

Todas as demais sob /ecosif-* exigem Authorization: Bearer <access_token> válido.

Defense in depth: o gateway e cada microsserviço validam o token. Não confiar apenas na borda.

Azure API Management (referência)

JWT validate policy (HTTP API inbound)

Substitua {tenant-id} e {client-id}:

<inbound>
    <validate-jwt header-name="Authorization" failed-validation-httpcode="401"
                  failed-validation-error-message="Token Microsoft inválido">
        <openid-config url="https://login.microsoftonline.com/{tenant-id}/v2.0/.well-known/openid-configuration" />
        <audiences>
            <audience>api://{client-id}</audience>
        </audiences>
        <issuers>
            <issuer>https://login.microsoftonline.com/{tenant-id}/v2.0</issuer>
        </issuers>
    </validate-jwt>
    <base />
</inbound>

Exceções no APIM

Configure operation policies sem validate-jwt para:

• POST /ecosif-auth/api/auth/external-login
• POST /ecosif-auth/api/auth/signin (se login local habilitado)

AWS API Gateway (HTTP API)

1. Criar JWT Authorizer: - Issuer: https://login.microsoftonline.com/{tenant-id}/v2.0 - Audience: api://{client-id} - O API Gateway resolve JWKS automaticamente a partir do issuer.
2. Associar o authorizer às rotas /ecosif-*.
3. Não associar a POST /ecosif-auth/api/auth/external-login nem signin.
4. Para rotas mistas (Modo A + B em ambientes diferentes), use APIs/stages separados — não misturar HS256 e RS256 no mesmo authorizer.

Traefik (referência)

Com plugin JWT/OIDC (ex.: traefik-plugin-jwt ou middleware custom):

Rotas de login e health ficam fora do middleware JWT.

Frontend (Angular)

Guia frontend: configuracao_provedores.md — Perfil 4.

Checklist de homologação

1. [ ] App Registration com Expose an API + scope access_as_user + admin consent
2. [ ] ECOSIF_API_TOKEN_MODE=AZURE_ENTERPRISE_GATEWAY em Angular + 5 backends
3. [ ] ECOSIF_GWVAL_ACCESSTOKEN_MS=true e ECOSIF_GWVAL_JWT_ECOSIF=false documentados no gateway
4. [ ] Login Microsoft → external-login retorna 200 + JWT ECOSIF (sessão)
5. [ ] Chamada GET /ecosif-masterdata/... com access token → 200
6. [ ] Mesma chamada com JWT ECOSIF → 401 no gateway ou backend
7. [ ] Token expirado → 401; MSAL renova via acquireTokenSilent
8. [ ] oid/sub do token existe em identity_provider_link após primeiro login

Verificação no browser (DevTools → Network)

• external-login: body com id_token; resposta com JWT ECOSIF
• APIs /ecosif-*: header Authorization: Bearer eyJ... com aud = api://... (decodificar em jwt.ms)

Troubleshooting

Referências