Как получить и использовать токены доступа API Graph для отправки электронных писем на C#

Оптимизация получения токена доступа для API Microsoft Graph

Вы когда-нибудь сталкивались с неудобствами, связанными с ежедневным получением токена доступа вручную из Graph Explorer? Это может быть неприятно, особенно если вы являетесь частью загруженной команды, которая полагается на автоматизацию отправки электронных писем через Microsoft Graph API. Ручной процесс может быстро стать узким местом производительности. 🤔

Чтобы упростить задачу, я решил создать функцию Azure, которая автоматически получает токен доступа для моей команды. Это решение устраняет необходимость в повторяющихся задачах и гарантирует, что каждый сможет сосредоточиться на своей основной работе, а не на управлении токенами. Это все равно, что придать вашему рабочему процессу столь необходимый заряд кофеина! ☕

Однако, как и большинство проектов развития, этот не обошёлся без проблем. Несмотря на успешную генерацию токена, я столкнулся с препятствием: токен, возвращаемый моей функцией, не соответствовал токену из Graph Explorer. Это неожиданное несоответствие вызвало несколько вопросов о его обоснованности и функциональности.

В этой статье я поделюсь использованным кодом, проблемами, с которыми столкнулся, и шагами, которые я предпринял для устранения проблемы. Независимо от того, создаете ли вы аналогичную функциональность или просто интересуетесь API Azure и Graph, это руководство проведет вас через этот процесс, предоставив практические идеи и соответствующие примеры. Давайте погрузимся! 🚀

Понимание и оптимизация получения токенов Graph API

Чтобы автоматизировать процесс отправки электронных писем с помощью API Microsoft Graph, первый скрипт демонстрирует, как получить токен доступа с помощью Потока учетных данных клиента на C#. Это особенно полезно при создании серверных приложений или служб, таких как функция Azure, где взаимодействие с пользователем не требуется. Скрипт безопасно извлекает токен, используя переменные среды для хранения конфиденциальных данных, например ClientId, ClientSecret и TenantId. Это обеспечивает безопасность за счет отсутствия жестко запрограммированных учетных данных в исходном коде.

Ядро решения основано на классе FormUrlEncodedContent, который создает полезную нагрузку запроса в формате, необходимом для аутентификации. Как только полезные данные будут готовы, метод httpClient.PostAsync отправляет HTTP-запрос POST в конечную точку токена Microsoft Identity. Этот вызов гарантирует, что приложение сможет программно получить действительный токен, который затем можно будет использовать для доступа к ресурсам, таким как API Microsoft Graph, для отправки электронных писем или управления данными.

Пример Python дополняет сценарий C#, предоставляя упрощенную альтернативу извлечению токенов. Используя метод os.getenv, он извлекает конфиденциальные учетные данные непосредственно из среды, подобно сценарию C#. Функция Requests.post выполняет вызов конечной точки токена, упрощая процесс для разработчиков, более знакомых с Python. Оба сценария включают надежную обработку ошибок с помощью `response.EnsureSuccessStatusCode` (C#) и явный вызов исключений ("raise Exception") в Python для управления такими проблемами, как сбои аутентификации или ошибки API.

Одним из реальных примеров применения этих сценариев может быть система уведомлений команды, которая отправляет членам команды электронные письма о критических событиях, таких как предстоящие сроки или перебои в обслуживании. Вместо ежедневного входа в Graph Explorer для получения токенов вручную эти сценарии автоматизируют процесс, уменьшая количество человеческих ошибок и повышая эффективность. 🚀 Такая автоматизация не только экономит время, но и обеспечивает бесперебойную работу системы даже в нерабочее время. Независимо от того, выбираете ли вы C# из-за его интеграции с решениями корпоративного уровня или Python из-за его простоты, оба подхода эффективно решают основную проблему. 😊

// Import necessary namespaces
using System;
using System.Net.Http;
using System.Threading.Tasks;
using System.Collections.Generic;
using Newtonsoft.Json;
using Microsoft.Extensions.Logging;
namespace GraphApiTokenFetcher
{
    public class TokenService
    {
        private static readonly HttpClient httpClient = new HttpClient();
        // Fetch access token using Client Credentials flow
        public static async Task<string> GetGraphAccessTokenAsync(ILogger log)
        {
            try
            {
                // Retrieve environment variables
                var clientId = Environment.GetEnvironmentVariable("ClientId");
                var clientSecret = Environment.GetEnvironmentVariable("ClientSecret");
                var tenantId = Environment.GetEnvironmentVariable("TenantId");
                var tokenEndpoint = $"https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/token";
                // Prepare the request body
                var body = new FormUrlEncodedContent(new[]
                {
                    new KeyValuePair<string, string>("client_id", clientId),
                    new KeyValuePair<string, string>("scope", "https://graph.microsoft.com/.default"),
                    new KeyValuePair<string, string>("client_secret", clientSecret),
                    new KeyValuePair<string, string>("grant_type", "client_credentials")
                });
                // Make the HTTP POST request
                HttpResponseMessage response = await httpClient.PostAsync(tokenEndpoint, body);
                response.EnsureSuccessStatusCode();
                // Read and parse the response
                string responseContent = await response.Content.ReadAsStringAsync();
                var tokenResult = JsonConvert.DeserializeObject<dynamic>(responseContent);
                return tokenResult.access_token;
            }
            catch (Exception ex)
            {
                log.LogError($"Error fetching Graph API token: {ex.Message}");
                throw;
            }
        }
    }
}

# Import required libraries
import os
import requests
import json
# Function to fetch access token
def get_graph_access_token():
    client_id = os.getenv("ClientId")
    client_secret = os.getenv("ClientSecret")
    tenant_id = os.getenv("TenantId")
    token_endpoint = f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token"
    # Prepare request payload
    payload = {
        "client_id": client_id,
        "client_secret": client_secret,
        "scope": "https://graph.microsoft.com/.default",
        "grant_type": "client_credentials"
    }
    # Send the POST request
    response = requests.post(token_endpoint, data=payload)
    if response.status_code == 200:
        return response.json().get("access_token")
    else:
        raise Exception(f"Failed to retrieve token: {response.text}")
# Retrieve and print token
if __name__ == "__main__":
    try:
        token = get_graph_access_token()
        print("Access Token:", token)
    except Exception as e:
        print("Error:", str(e))

Преодоление проблем при проверке токенов Graph API

При работе с Microsoft Graph API разработчики часто сталкиваются с одной из важнейших задач — обеспечение действительности и области действия токена доступа. Хотя получить токен с помощью потока учетных данных клиента несложно, его удобство использования зависит от разрешений, предоставленных приложению в Azure AD. Распространенной ошибкой является неправильная настройка разрешений API, что приводит к ошибкам при использовании токена для отправки электронных писем или выполнения других действий.

Еще одним важным моментом является понимание разницы между токенами, полученными с помощью Graph Explorer, и токенами, созданными программным путем. Токены Graph Explorer обычно привязаны к контексту пользователя и его конкретным разрешениям, тогда как программные токены, использующие поток учетных данных клиента, относятся к области приложения. Это различие объясняет, почему возвращаемые токены могут не совпадать, даже если базовые конфигурации кажутся похожими.

Чтобы устранить эти несоответствия, следует убедиться, что приложение имеет необходимые Mail.Send или эквивалентные делегированные разрешения на портале Azure. Кроме того, проверка полезных данных декодированного токена с помощью такого инструмента, как [JWT.io](https://jwt.io), может помочь выявить отсутствующие или неправильные утверждения, такие как `scp` (область действия) или `роли`. Реальный сценарий, в котором это может иметь решающее значение, — это автоматизация массовой доставки уведомлений по электронной почте для клиентов. Без правильной конфигурации система может выйти из строя во время производства, что повлияет на взаимодействие с клиентами. Выполнение этих шагов обеспечит плавную интеграцию и повысит надежность вашего решения. 😊