Connexion aux services XBOX pour les sites web de titres

​

Vue d’ensemble de l’authentification

• Le site web ou l’application web se voit attribuer une identité destinée à être utilisée avec un compte Microsoft.
• Cette inscription s’effectue dans le Microsoft Entra ID de l’éditeur.

1. L’utilisateur accède au site web ou démarre l’application.
2. L’utilisateur est redirigé pour se connecter à son compte Microsoft au moyen du point de terminaison OAuth 2.0.
3. L’utilisateur saisit correctement ses informations d’identification et consent à ce que le site web ou l’application accède aux informations des services XBOX en son nom.
4. Le site web ou l’application reçoit un code d’autorisation.
5. Le site web ou l’application demande un jeton d’accès à l’aide du code d’autorisation, en demandant l’étendue appropriée.
6. Le site web ou l’application reçoit un jeton d’accès (et un jeton d’actualisation, si celui-ci a été demandé).

7. À l’aide du jeton d’accès, le site web ou l’application demande un jeton utilisateur des services XBOX (jeton U).
8. Le jeton utilisateur est ensuite utilisé pour obtenir des jetons X (jetons d’accès) auprès du XBOX Security Token Service (XSTS) afin d’accéder aux services XBOX ou aux services de titre.

​

Inscription du site web

1. Connectez-vous au portail Azure avec un compte autorisé à inscrire des applications dans Microsoft Entra ID
2. Sélectionnez « Inscriptions d’applications »
3. Sélectionnez « + Nouvelle inscription »
   • Saisissez un nom pour cette application
   • Pour « Types de comptes pris en charge », sélectionnez « Comptes Microsoft personnels uniquement »
   • Saisissez l’URL de redirection vers laquelle le flux d’authentification doit rediriger l’utilisateur une fois l’authentification réussie. Notez-la, car vous en aurez besoin plus tard. Vous pourrez également ajouter d’autres URI ultérieurement
   • Terminez l’inscription de l’application
4. Notez l’ID d’application (client) et l’ID de l’annuaire (locataire)
5. Sélectionnez Certificats et secrets
   • Sélectionnez « + Nouveau secret client »
   • Saisissez une description
   • Sélectionnez une période d’expiration
   • Cliquez sur Ajouter
   • Notez la valeur du secret client créé, car vous en aurez besoin plus tard. Cette valeur ne doit être utilisée et stockée de manière sécurisée que sur votre service.

​

Intégration

1. Lancez le flux OAuth 2.0 en demandant un code d’autorisation :
   • Redirigez l’utilisateur vers https://login.microsoftonline.com/consumers/oauth2/v2.0/authorize?client_id=[Application (client) ID from Registration]&response_type=code&redirect_uri=[RedirectUI given during registration]&scope=xboxlive.signin&xboxlive.offline_access Dans cet exemple, nous demandons un jeton de connexion et l’accès à un jeton hors connexion qui peut être utilisé pour actualiser le jeton d’accès après son expiration. Les avis appropriés sur la confidentialité et l’activité du compte seront également présentés à l’utilisateur.
   • Une fois que l’utilisateur s’est connecté à son compte Microsoft, il est redirigé vers l’URI de redirection fourni, auquel est ajouté le code d’autorisation sous la forme "code=" suivi du code d’autorisation.
   • L’utilisation de l’étendue xboxlive.offline_access est facultative et n’est nécessaire que pour les scénarios qui exigent des appels après l’expiration du jeton de connexion initial. Aucune autre étendue supplémentaire ne peut être utilisée pour cette requête.
2. Échangez le code d’autorisation et le secret client généré lors du processus d’inscription de l’application contre un jeton d’accès de compte Microsoft :
   • Créez une requête web POST avec les propriétés suivantes : URL : https://login.microsoftonline.com/consumers/oauth2/v2.0/token En-tête : Content-Type: application/x-www-form-urlencoded Corps :

     client_id=[Application (Client) ID]&code=[Authorization Code received above]&
     redirect_uri=[A redirect UI set in the application]&
     grant_type=authorization_code&client_secret=[Client secret value from application registration]

• La réponse du service contient une réponse JSON avec les informations suivantes : Token Type : Bearer Scope : XboxLive.signin XboxLive.offline_access Expires_in : Value Access_token : [token value] Il s’agit de votre jeton d’accès, que vous échangerez auprès des services XBOX contre un jeton utilisateur XBOX.

3. Vous pouvez demander un jeton utilisateur XBOX en appelant les points de terminaison d’authentification XBOX et échanger votre jeton d’accès de compte Microsoft contre un jeton utilisateur XBOX en effectuant la requête suivante :
   • Créez une requête web POST avec les propriétés suivantes : URL : https://user.auth.xboxlive.com/user/authenticate En-tête : x-xbl-contract-version: 1 En-tête : content-type: application/json Corps : une charge utile JSON bien formée qui comprend les données suivantes :

     {
       "RelyingParty": "http://auth.xboxlive.com",
       "TokenType": "JWT",
       "Properties": {
         "AuthMethod": "RPS",
         "SiteName": "user.auth.xboxlive.com",
         "RpsTicket": "d=[Microsoft Account access token received in the last step]"
       }
     }

• La réponse du service contient une charge utile JSON comprenant les informations suivantes, dont le jeton utilisateur XBOX. Vous aurez besoin du jeton utilisateur XBOX à l’étape suivante :

     {
       "IssueInstant": "2021-06-08T23:45:50.2531302Z",
       "NotAfter": "2021-06-22T23:45:50.2531302Z",
       "Token": "d=[Xbox User Token]",
       "DisplayClaims": {
       "xui": [
           {
             "uhs": "[USER HASH]"
           }
         ]
       }
     }

4. Vous pouvez ensuite échanger votre jeton utilisateur contre un jeton X. Si vous souhaitez effectuer des appels de service à service pour le compte de l’utilisateur et avez besoin de la revendication DelegationToken ou du XUID de l’utilisateur, vous pouvez demander un jeton X pour votre propre partie de confiance, puis traiter ce jeton comme vous le feriez normalement pour en extraire les revendications nécessaires.

   POST https://xsts.auth.xboxlive.com/xsts/authorize HTTP/1.1
   x-xbl-contract-version: 1
   Content-Type: application/json
   Host: xsts.auth.xboxlive.com
   Content-Length: 1425
   Expect: 100-continue
   {
                   "Properties": {
                                   "SandboxId": "XDKS.1",
                                   "UserTokens": ["eyJlbmMiOiJBMTI4Q0JDK0hTMjU2IiwiYWxnIjoiUlN..."]
                   },
                   "RelyingParty": "[Your Relying Party here]",
                   "TokenType": "JWT"
   }