来自 GetAccessTokenForAppAsync 的 MsalClientException IDW10104

Question

我有一个 ASP.NET Core Web API 在 Azure 中设置为应用程序服务，并在我们的 AzureAd 中进行应用程序注册 在

appsettings.json 中，我（匿名）

 "AzureAd": {
    "Instance": "https://login.microsoftonline.com/",
    "Domain": "ourdomain.co.uk",
    "TenantId": "n9n999n9-9999-nnnn-9n9n9-9n9n9n9n9n9",
    "ClientId": "81933a15-157f-45b0-bc32-3d7d6d62f4a7",
    "Audience": "https://ourdomain.co.uk/breathe.notifications-service",
    "ClientSecret": "a6a6a6a~EEizqWNa8itAAAjcrycxnCtxaVgKTFx"
  },

该应用程序在 Azure Ad 中具有 API 权限，允许我调用另一个应用程序服务，审计。审核服务没有定义任何特定范围，但它确实有一个名为 Audit.Write 的应用程序角色。

在调用 API 中，我需要获取令牌来调用审核，因此我运行此代码，

var accessToken = await this.tokenAcquisition.GetAccessTokenForAppAsync(this.auditApiScope);
this.httpClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);
this.httpClient.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));

请注意对 GetAccessTokenForAppAsync 而不是更常见的 GetAccessTokenForUserAsync

我传递的范围字符串是

https://ourdomain.co.uk/us.audit-service/.default

当我调用 GetAccessTokenForAppAsync 时，它失败并出现 MSALException

IDW10104：客户端密钥和客户端证书都不能为空或 空白，并且只有一个必须包含在配置中 Web 应用程序调用 Web API 时。例如，在 appsettings.json 中 文件。

客户端密钥位于 AzureAd 配置中，我没有指定证书。

Answer 1

我现在已经完成了这项工作，并且有两个选择，但在概述这些选项之前，我需要提供一些额外的背景知识。

此 Web Api 和我们创建的其他 Web Api 为 Azure Ad 用户和 Azure B2C 用户提供功能。此功能首先在 Microsoft.Identity.Web 1.11.0 中实现，自 1.11.0 发布以来我们一直在使用它。然而，我们总是遇到一个问题，即我们会生成数千个异常，因为 MSAL 对使用哪种方案感到困惑。

我们看到这篇博文，在 ASP.NET Core 3.1 中使用多个身份验证方案时删除误导性的 IDX10501 日志 这个 github 线程中有更多详细信息，https://github.com/oliviervaillancourt/blog/issues/3。

我们的 Startup.cs 配置服务如下所示。

public void ConfigureServices(IServiceCollection services)
{
    services.AddMicrosoftIdentityWebApiAuthentication(this.configuration)
                                                            .EnableTokenAcquisitionToCallDownstreamApi()
                                                            .AddInMemoryTokenCaches();

    services.AddAuthentication()
            .AddMicrosoftIdentityWebApi(this.configuration, "AzureAdB2C", "B2CScheme", true);

    services.AddAuthentication("AzureAD_OR_AzureAdB2C")
                .AddMicrosoftIdentityWebApi(
                                            jwtBearerOptions =>
                                            {
                                                var azureAdB2CConfig = this.configuration.GetSection("AzureAdB2C");
                                                jwtBearerOptions.ForwardDefaultSelector = context =>
                                                {
                                                    var token = string.Empty;

                                                    if (context.Request.Headers.TryGetValue("Authorization", out var value))
                                                    {
                                                        string authorization = value;
                                                        if (authorization.StartsWith("Bearer ", StringComparison.OrdinalIgnoreCase))
                                                        {
                                                            token = authorization.Substring("Bearer ".Length).Trim();
                                                        }
                                                    }

                                                    if (token == null)
                                                    {
                                                        this.logger.LogInformation($"Cannot get the Token out of the Authorization header");
                                                    }

                                                    var jwtHandler = new JwtSecurityTokenHandler();

                                                    if (jwtHandler.CanReadToken(token))
                                                    {
                                                        var jwtToken = jwtHandler.ReadJwtToken(token);
                                                        var expectedB2CIssuer = $"{azureAdB2CConfig.GetValue<string>("Instance")}/{azureAdB2CConfig.GetValue<string>("TenantId")}/v2.0/";

                                                        if (string.Compare(jwtToken.Issuer, expectedB2CIssuer, true) == 0)
                                                        {
                                                            // Claim is from B2C so this request should be validated against the B2C scheme.
                                                            this.logger.LogInformation($"Request is with a B2C issued token so refer to B2CScheme. Token issuer: {jwtToken.Issuer} B2C Issuer: {expectedB2CIssuer}");
                                                            return "B2CScheme";
                                                        }
                                                        else
                                                        {
                                                            this.logger.LogInformation($"Request is not with a B2C issued token so refer to Bearer scheme. Token issuer: {jwtToken.Issuer} B2C Issuer: {expectedB2CIssuer}");
                                                        }
                                                    }
                                                    else
                                                    {
                                                        this.logger.LogInformation("Request token could not be read so refer to Bearer scheme");
                                                    }

                                                    return "Bearer";
                                                };
                                            },
                                            identityOptions =>
                                            {
                                                var azureAdB2CConfig = this.configuration.GetSection("AzureAdB2C");
                                                identityOptions.Instance = azureAdB2CConfig.GetValue<string>("Instance");
                                                identityOptions.TenantId = "AzureAD_OR_AzureAdB2C";
                                                identityOptions.ClientId = "AzureAD_OR_AzureAdB2C";
                                            },
                                            "AzureAD_OR_AzureAdB2C",
                                            false);

    services.AddControllers()
            .AddNewtonsoftJson();

    services.AddLogging(options =>
    {
        // hook the Console Log Provider
        options.AddConsole();
        options.SetMinimumLevel(Microsoft.Extensions.Logging.LogLevel.Trace);

        // hook the Application Insights Provider
        options.AddFilter<ApplicationInsightsLoggerProvider>(string.Empty, Microsoft.Extensions.Logging.LogLevel.Trace);

        // pass the InstrumentationKey provided under the appsettings
        options.AddApplicationInsights(this.configuration["APPINSIGHTS_INSTRUMENTATIONKEY"]);
    });
  
}

ForwardDefaultSelector 使用的逻辑帮助我们处理多个方案并将 ASP.NET 转发到正确的方案。

现在回到答案。

如果我删除 ForwardDefaultSelector，我将不再获得 IDW10104，但是我们用它来删除所有无关的异常方案，因此这实际上并不可行。

唯一可行的选择是将 Web Api 从最新版本的 Microsoft.Identity.Web 1.21.1 移至 1.16.0。导致我们遇到异常的问题是在 1.16.1 中引入的。我将在 MSAL github 上提出 1.16.1 的问题。我们之前使用的是 1.11.0。