clientStateは、各通知でサービスによって送信されるclientStateプロパティの値を指定します。最大長は128文字です。クライアントは、サブスクリプションで送信されたclientStateプロパティの値を、各通知で受信されたclientStateプロパティの値と比較することにより、通知がサービスから送信されたことを確認できます。
注：サブスクリプションを使用すると、クライアントアプリはMicrosoftGraphのデータの変更に関する通知を受け取ることができます。
トピック3、E-invoicing
既存の環境
アプリケーションアーキテクチャ
電子請求書は、シングルページアプリケーション（SPA）と、請求書の管理および処理機能を提供するバックエンドWebサービスで構成されています。
E-invoicingは、各請求操作のすべての詳細をバックエンドクラウドデータベースに保存します。電子請求書はPDF形式の請求書を生成し、生成後にOneDriveからPDFをダウンロードする機能をユーザーに提供します。各請求書には、invoiceidという名前の一意の識別子があります。
ユーザーは、E-invoicingにサインインしてから、Webブラウザーの複数のタブでE-invoicingを開いて、アプリケーションのさまざまな部分を同時に使用できるという共通のワークフローを持っています。
セキュリティアーキテクチャ
要件
ビジネス目標
計画された変更
*現在サインインしているユーザーに代わって、生成された請求書を顧客に電子メールで送信します。システムによって生成されたすべての電子メールには、請求書IDが含まれます。
* E-invoicingアプリケーションを離れることなく、ブラウザで可能な限り多くの操作を実行します。
* Microsoft IDプラットフォームを使用して、ID、認証、および承認を管理します。
*特定の請求書IDを含むすべての電子メールを表示します。
技術要件
*Microsoft365に対してE-invoicingによって実行されるすべての操作がユーザーによって開始されることを確認してください。アプリケーションがユーザーに代わってMicrosoft365データに初めてアクセスしようとするときに、ユーザーがE-invoicingにMicrosoft365データへのアクセスを許可することを要求します。
*支払い期日の前にスケジュールされたリマインダーを顧客に送信します。管理ユーザーインターフェイスを作成して、スケジュールされたリマインダーを有効にします。
* Microsoft Graph変更通知を実装して、指定されたメールボックスに到着するベンダーからの電子メールを検出します。
*シングルサインオン（SSO）を実装し、ブラウザタブ全体のログインプロンプトを最小限に抑えます。
* Microsoft IDプラットフォームを使用して、バックエンドWebサービスへの安全なアクセス。
*すべてのソリューションが安全なコーディング手法を使用していることを確認してください。
バックエンドセキュリティの計画された変更
電子請求には、ユーザーがバックエンドAPIの呼び出しを許可する必要があるかどうかを動的に識別する内部ロジックがあります。
SSOJavaScriptスクリプト
次のコードを使用して、Microsoft認証ライブラリ（MSAL）でSSOを実装することを計画しています。

アクセストークンJavaScriptスクリプト
アクセストークンを取得するには、次のJavaScriptコードがあります。

通知JSONの変更
ベンダーの電子メールを検出するためにMicrosoftGraphサービスによって送信される次のJSONメッセージがあります。

C：必要なclient_idは、Azureポータル-アプリ登録エクスペリエンスがアプリに割り当てたアプリケーション（クライアント）IDです。
E：認証コードフローは、クライアントがユーザーを/authorizeエンドポイントに誘導することから始まります。

参照：https：//docs.microsoft.com/en-us/azure/active-directory/develop/v2-oauth2-auth-code-flow

説明

Microsoft IDプラットフォームは、委任されたアクセス許可とアプリケーションのアクセス許可の2種類のアクセス許可をサポートしています。
ボックス1：委任
*委任された権限は、サインインしたユーザーが存在するアプリによって使用されます。これらのアプリの場合、ユーザーまたは管理者のいずれかがアプリが要求するアクセス許可に同意し、アプリはターゲットリソースに呼び出しを行うときにサインインユーザーとして機能するアクセス許可を委任されます。
ボックス2：アプリケーション
*アプリケーションのアクセス許可は、サインインしたユーザーがいない状態で実行されるアプリによって使用されます。たとえば、バックグラウンドサービスまたはデーモンとして実行されるアプリ。アプリケーションのアクセス許可は、管理者のみが同意できます。
参照：https：//docs.microsoft.com/en-us/azure/active-directory/develop/v2-permissions-and-consent

説明
Webサーバーアプリでは、サインイン認証フローは次の高レベルの手順を実行します。

Microsoft IDプラットフォームエンドポイントから受信した公開署名キーを使用してIDトークンを検証することにより、ユーザーのIDを確認できます。セッションCookieが設定されます。これは、後続のページ要求でユーザーを識別するために使用できます。
単純なサインインに加えて、WebサーバーアプリはRESTAPIなどの別のWebサービスにアクセスする必要がある場合があります。
この場合、Webサーバーアプリは、OAuth 2.0認証コードフローを使用して、OpenIDConnectとOAuth2.0を組み合わせたフローを実行します。
参照：https：//docs.microsoft.com/en-us/azure/active-directory/develop/v2-app-types