使用WAM/MSAL的Azure令牌进行身份验证到自定义API

Question

在编写桌面.NET核心应用程序的过程中，简要说明

使用MSAL对自定义API进行身份验证，我遇到了令牌的问题经理（WAM）。

背景

我正在使用一个桌面应用程序开发一个解决方案，该桌面应用调用自定义API，均为.NET Core 6编写。该应用最好能够使用当前用户帐户到API的情况下进行身份验证，而无需用户交互。 所有客户端都连接到特定的Azure租户，因此我的理解是，使用WAM检索机器的默认Microsoft帐户应完成此操作。

另一种解决方案是使用集成的Windows身份验证（IWA），但是我希望不使用此解决方案，因为它仅支持AD FS FS -FEDEDEDEDS用户 - 最适合应用程序也支持并非如此。

以

我可以使用MSAL.NET中的标准方法（以这种方式检索的标准方法来检索自定义API的必要令牌，

var scopes = new[] { "User.Read", $"api://{clientId}/access_as_user" };

var client = PublicClientApplicationBuilder.Create(clientId)
    .WithAuthority("https://login.microsoftonline.com/organizations/v2.0")
    .WithRedirectUri("customApp://auth")
    .Build();

var result = await client
    .AcquireTokenInteractive(scopes)
    .ExecuteAsync();

这种方式检索到了必要的令牌：

builder.Services
    .AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(builder.Configuration.GetSection("AzureAd"));

问题问题

是在我尝试使用WAM检索令牌时发生的问题：

var scopes = new[] { "User.Read", $"api://{clientId}/access_as_user" };

var client = PublicClientApplicationBuilder
    .Create(clientId)
    .WithBroker(true)
    .Build();

var result = await client
    .AcquireTokenInteractive(scopes)
    .WithAccount(PublicClientApplication.OperatingSystemAccount)
    .WithParentActivityOrWindow(NativeMethods.GetConsoleWindow())
    .ExecuteAsync();

返回令牌而没有错误，但是API不接受它，给出了错误 验证失败。

IDX10511：签名

• -0000-C000-000000000000'而不是'api：// [my_client_id]'
• 范围WAM令牌的（ scp ）包含默认的'Offline_access openID配置文件用户。

我尝试在WAM上明确设置权威并将URI重定向，但这似乎没有任何区别。

如果我从我的请求中删除图形 user.read 范围，则从WAM中获取令牌失败的错误，这表明这是必需的：

caa20002：AADST90008：用户或管理员尚未同意将应用程序与ID XX一起使用。发生这种情况是因为应用程序被错误配置：必须通过指定至少“登录和读取用户配置文件”权限来访问Microsoft Graph。

问题

• 我正在通过WAM检索令牌的方式是否存在问题？
• 我是否试图做不支持的事情？ IE。我不能为此目的使用WAM吗？
• API中身份验证的配置而不是将令牌的检索进行配置的问题？

任何帮助都将受到赞赏！

Answer 1

该问题与您传递的范围有关：

var scopes = new[] { "User.Read", $"api://{clientId}/access_as_user" };

2不同的API的范围：

• user.read是MS Graph
• API：// {clientId}/access_as_user

的范围，当您提出访问请求时， 是您的自定义资源，AAD应该仅查找第一个用户。阅读范围，然后将您返回MS Graph的访问权限，因此您在受众中看到的'00000003-0000-0000-0000-C000-00000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000来价值。

尝试删除用户。从数组中阅读权限，看看它是否有效。