Entrada nos serviços do XBOX para sites de títulos

​

Visão geral da autenticação

• O site ou aplicativo web recebe uma identidade provisionada para uso com uma conta Microsoft.
• Esse registro ocorre no Microsoft Entra ID do publicador.

1. O usuário acessa o site ou inicia o aplicativo.
2. O usuário é redirecionado para entrar na conta Microsoft por meio do ponto de extremidade OAuth2.0.
3. O usuário insere as credenciais com sucesso e consente que o site ou aplicativo acesse as informações dos serviços do XBOX em seu nome.
4. O site ou aplicativo recebe um código de autorização.
5. O site ou aplicativo solicita um token de acesso, usando o código de autorização e solicitando o escopo correto.
6. O site ou aplicativo recebe um token de acesso (e um token de atualização, se solicitado).

7. Usando o token de acesso, o site ou aplicativo faz uma requisição de um token de usuário dos serviços do XBOX (U Token).
8. Em seguida, o token de usuário é usado para obter X tokens (tokens de acesso) do XBOX Security Token Service (XSTS) para acessar os serviços do XBOX ou os serviços do título.

​

Registro do site

1. Entre no Portal do Azure com uma conta que tenha permissão para registrar aplicativos no Microsoft Entra ID
2. Selecione “Registros de aplicativo”
3. Selecione ”+ Novo registro”
   • Insira um nome para este aplicativo
   • Em “Tipos de conta com suporte”, selecione “Somente contas Microsoft pessoais”
   • Insira uma URL de redirecionamento para a qual o fluxo de autenticação deve redirecionar o usuário após a autenticação bem-sucedida. Anote-a, pois você precisará dela mais tarde. Você também pode adicionar outros URIs mais tarde
   • Conclua o registro do aplicativo
4. Anote o ID do aplicativo (cliente) e o ID do diretório (locatário)
5. Selecione Certificados e segredos
   • Selecione ”+ Novo segredo do cliente”
   • Insira uma descrição
   • Selecione um intervalo de expiração
   • Clique em Adicionar
   • Anote o valor do segredo do cliente criado, pois você precisará dele mais tarde. Esse valor só deve ser usado e armazenado com segurança no seu serviço.

​

Integração

1. Inicie o fluxo OAuth2.0 solicitando um código de autorização:
   • Direcione o usuário para https://login.microsoftonline.com/consumers/oauth2/v2.0/authorize?client_id=[Application (client) ID from Registration]&response_type=code&redirect_uri=[RedirectUI given during registration]&scope=xboxlive.signin&xboxlive.offline_access Neste exemplo, estamos solicitando um token de entrada e acesso a um token offline, que pode ser usado para atualizar o token de acesso depois que ele expirar. Isso também mostrará ao usuário os avisos corretos de privacidade e atividade da conta.
   • Depois que o usuário concluir a entrada na conta Microsoft, ele será redirecionado para o URI de redirecionamento fornecido, com o código de autorização acrescentado como "code=" seguido do código de autorização.
   • O uso do escopo xboxlive.offline_access é opcional e só é necessário em cenários que exigem chamadas depois que o token de entrada original expirar. Outros escopos adicionais não podem ser usados nesta requisição.
2. Resgate um token de acesso da conta Microsoft usando o código de autorização e o segredo do cliente gerado durante o processo de registro do aplicativo:
   • Crie uma requisição web POST com as seguintes propriedades: URL: https://login.microsoftonline.com/consumers/oauth2/v2.0/token Cabeçalho: Content-Type: application/x-www-form-urlencoded Corpo:

     client_id=[Application (Client) ID]&code=[Authorization Code received above]&
     redirect_uri=[A redirect UI set in the application]&
     grant_type=authorization_code&client_secret=[Client secret value from application registration]

• A resposta do serviço conterá uma resposta JSON com as seguintes informações: Token Type: Bearer Scope: XboxLive.signin XboxLive.offline_access Expires_in: Value Access_token: [token value] Esse é o seu token de acesso, que você trocará com os serviços do XBOX por um token de usuário do XBOX.

3. Você pode solicitar um token de usuário do XBOX chamando os pontos de extremidade de autenticação do XBOX e trocar o token de acesso da conta Microsoft por um token de usuário do XBOX concluindo a seguinte requisição:
   • Crie uma requisição web POST com as seguintes propriedades: URL: https://user.auth.xboxlive.com/user/authenticate Cabeçalho: x-xbl-contract-version: 1 Cabeçalho: content-type: application/json Corpo: um conteúdo JSON bem formado que inclui os seguintes dados:

     {
       "RelyingParty": "http://auth.xboxlive.com",
       "TokenType": "JWT",
       "Properties": {
         "AuthMethod": "RPS",
         "SiteName": "user.auth.xboxlive.com",
         "RpsTicket": "d=[Microsoft Account access token received in the last step]"
       }
     }

• A resposta do serviço conterá um conteúdo JSON com as seguintes informações, incluindo o token de usuário do XBOX. Você precisará do token de usuário do XBOX na próxima etapa:

     {
       "IssueInstant": "2021-06-08T23:45:50.2531302Z",
       "NotAfter": "2021-06-22T23:45:50.2531302Z",
       "Token": "d=[Xbox User Token]",
       "DisplayClaims": {
       "xui": [
           {
             "uhs": "[USER HASH]"
           }
         ]
       }
     }

4. Em seguida, você pode trocar seu token de usuário por um X-token. Se quiser fazer chamadas de serviço para serviço em nome do usuário e precisar da declaração DelegationToken ou do XUID do usuário, você pode solicitar um X-token para sua própria terceira parte confiável e tratar esse token como faria normalmente para extrair as declarações necessárias.

   POST https://xsts.auth.xboxlive.com/xsts/authorize HTTP/1.1
   x-xbl-contract-version: 1
   Content-Type: application/json
   Host: xsts.auth.xboxlive.com
   Content-Length: 1425
   Expect: 100-continue
   {
                   "Properties": {
                                   "SandboxId": "XDKS.1",
                                   "UserTokens": ["eyJlbmMiOiJBMTI4Q0JDK0hTMjU2IiwiYWxnIjoiUlN..."]
                   },
                   "RelyingParty": "[Your Relying Party here]",
                   "TokenType": "JWT"
   }