使用“ms-rest-nodeauth”刷新服务主体身份验证的访问令牌

Question

我有一个应用程序需要连接到 Azure SQL Server，并且使用 Sequelize 作为 ORM。我正在尝试通过使用服务主体进行身份验证来使解决方案更安全。我正在使用模块 @azure/ms-rest-nodeauth 获取访问令牌并将其传递给我的数据库初始化程序中的 Sequelize。 函数“loginWithServicePrincipalSecret”通过传递 SPN 凭据获取访问令牌。

const sequelize = new Sequelize({
      database: AZURE_SQL_DB,
      host: AZURE_SQL_SERVER,
      dialect: 'mssql',
      logging: true,
      dialectOptions: {
        authentication: {
          type: 'azure-active-directory-access-token',
          options: {
            token: accessToken,
          },
        }
      }
    })

问题是，尽管这样可以建立连接，但访问令牌会在 1 小时后过期。这会破坏解决方案，因为它一直在侦听新请求并且令牌将过期。

有没有办法“刷新”令牌，或者有什么优雅的方式来处理获取新令牌？

Answer 1

发布我最终用于解决方案的内容。

Tedious 支持身份验证类型“azure-active-directory-service-principal-secret”，它在后台使用 @azure/ms-rest-nodeauth 方法并处理身份验证。

{
  database: AZURE_SQL_DB,
  host: AZURE_SQL_SERVER,
  dialect: 'mssql',
  logging: true,
  dialectOptions: {
    authentication: {
      type: 'azure-active-directory-service-principal-secret',
      options: {
        clientId: AZURE_CLIENT_ID,
        tenantId: AZURE_TENANT_ID,
        clientSecret: AZURE_CLIENT_SECRET,
      },
    },
  },
};

Answer 2

您能否尝试将Silent flow 与MSAL.js 结合使用，后者在需要时在内部使用刷新令牌来获取新令牌？ acquireTokenSilent(@azure/msal-node) 可以进行令牌的静默更新，这意味着您无需自己获取刷新令牌。

var request = {
    scopes: ["Mail.Read"]
};

msalInstance.acquireTokenSilent(request).then(tokenResponse => {
    // Do something with the tokenResponse
}).catch(error => {
    if (error instanceof InteractionRequiredAuthError) {
        // fallback to interaction when silent call fails
        return myMSALObj.acquireTokenRedirect(request)
    }
});