通过OpenID Connect从Azure AD获取用户的email地址

Question

我正在尝试使用他们的 Office 365 帐户对访问我网站的用户进行身份验证，因此我一直在遵循有关使用 OWIN OpenID Connect 中间件添加身份验证的指南，并成功地设法对他们的个人资料进行身份验证和检索。

我现在正在尝试获取用户的 email 地址（这样我就可以用他们的联系方式填充他们的系统帐户），但我似乎无法获得 email 的索赔。 我尝试使用 scope openid profile email发出请求，但声明集不包含任何邮件信息。

有没有办法通过 OpenID Connect 端点从 Azure AD 获取用户的 email？

Answer 1

在找到解决方案之前，我在同样的问题上挣扎了几天。 回答您的问题：是的，您应该能够在索赔中取回电子邮件地址，只要您：

1. 在您的请求中包含profile或email范围，以及
2. 在 Azure 门户 Active Directory 部分配置您的应用程序，以在Delegated Permissions下包含登录和读取用户配置文件。

请注意，电子邮件地址可能不会在email声明中返回：在我的情况下（一旦我开始工作），它会在name声明中返回。

然而，没有得到所有的电子邮件地址回可以通过下列问题之一引起：

没有与 Azure AD 帐户关联的电子邮件地址

根据Azure Active Directory v2.0 端点中的范围、权限和同意指南，即使您包含email范围，您也可能无法获得电子邮件地址：

仅当电子邮件地址与用户帐户相关联时， email声明才包含在令牌中，但情况并非总是如此。 如果它使用email范围，您的应用程序应该准备好处理令牌中不存在email声明的情况。

如果您收到其他与个人资料相关的声明（如given_name和family_name ），这可能是问题所在。

中间件丢弃的声明

这就是我的原因。 我没有收到任何与个人资料相关的声明（名字、姓氏、用户名、电子邮件等）。

就我而言，身份处理堆栈如下所示：

• 身份服务器3
• IdentityServer3.AspNetIdentity
• 基于couchbase-aspnet-identity 的自定义 Couchbase 存储提供程序

问题出在 IdentityServer3.AspNetIdentity AspNetIdentityUserService类中： InstantiateNewUserFromExternalProviderAsync()方法如下所示：

protected virtual Task<TUser> InstantiateNewUserFromExternalProviderAsync(
    string provider,
    string providerId,
    IEnumerable<Claim> claims)
{
    var user = new TUser() { UserName = Guid.NewGuid().ToString("N") };
    return Task.FromResult(user);
}

注意它传入一个声明集合然后忽略它。 我的解决方案是创建一个派生自此的类并将该方法覆盖为如下所示：

protected override Task<TUser> InstantiateNewUserFromExternalProviderAsync(
    string provider,
    string providerId,
    IEnumerable<Claim> claims)
{
    var user = new TUser
    {
        UserName = Guid.NewGuid().ToString("N"),
        Claims = claims
    };
    return Task.FromResult(user);
}

我不知道您正在使用哪些中间件组件，但是很容易看到从您的外部提供程序返回的原始声明； 这至少会告诉你他们回来了，问题出在你的中间件中。 只需将Notifications属性添加到您的OpenIdConnectAuthenticationOptions对象，如下所示：

// Configure Azure AD as a provider
var azureAdOptions = new OpenIdConnectAuthenticationOptions
{
    AuthenticationType = Constants.Azure.AuthenticationType,
    Caption = Resources.AzureSignInCaption,
    Scope = Constants.Azure.Scopes,
    ClientId = Config.Azure.ClientId,
    Authority = Constants.Azure.AuthenticationRootUri,
    PostLogoutRedirectUri = Config.Identity.RedirectUri,
    RedirectUri = Config.Azure.PostSignInRedirectUri,
    AuthenticationMode = AuthenticationMode.Passive,
    TokenValidationParameters = new TokenValidationParameters
    {
        ValidateIssuer = false
    },
    Notifications = new OpenIdConnectAuthenticationNotifications
    {
        AuthorizationCodeReceived = context =>
        {
            // Log all the claims returned by Azure AD
            var claims = context.AuthenticationTicket.Identity.Claims;
            foreach (var claim in claims)
            {
                Log.Debug("{0} = {1}", claim.Type, claim.Value);
            }
            return null;
        }
    },
    SignInAsAuthenticationType = signInAsType // this MUST come after TokenValidationParameters
};

app.UseOpenIdConnectAuthentication(azureAdOptions);

也可以看看

• Scott Brady 撰写的这篇文章包含一个关于 Claims Transformation 的部分，如果上述方法都没有修复它，它可能会很有用。
• 这个关于 IdentityServer3 GitHub 账号的讨论对我帮助很大，尤其是这个回复。

Answer 2

我在同一个问题上苦苦挣扎了好几天……我从拥有个人 Microsoft 帐户的用户那里获取电子邮件地址，但没有从拥有公司 Microsoft 帐户的用户那里获取电子邮件地址。

对于个人帐户，电子邮件地址在email字段中返回，就像人们所期望的那样。

对于公司帐户，电子邮件地址在preferred_username字段中返回。

保持我的手指交叉，没有另一个我还没有发现的微软变体......

Answer 3

是否可以选择将登录请求中的 &resource= https://graph.windows.net传递给授权终结点，然后查询 Azure AD Graph API 以获取经过身份验证的组织用户的 Office 365 电子邮件地址？ 例如，GET https://graph.windows.net/me/mail?api-version=1.5

有关其他参考，请参阅 AzureADSamples GitHub 上的 WebApp-WebAPI-MultiTenant-OpenIdConnect-DotNet 代码示例。

Answer 4

2019 年更新答案： email声明是一个可选声明，可能不包含在请求中（ 来源）

对于托管用户（租户内部的用户），必须通过此可选声明或仅在 v2.0 上使用 OpenID 范围来请求。

您必须更新 Azure 门户中的清单文件以包含可选声明，如下所示：

"optionalClaims": {
    "idToken": [
        {
            "name": "email",
            "source": null,
            "essential": false,
            "additionalProperties": []
        }
    ],
}

这个答案的部分灵感来自这篇博文。

Answer 5

在同样的情况下，我最终得到了一个非常简单的代码，该代码在登录后返回所有用户声明（包括电子邮件）

using System.Collections.Generic;
using System.Linq;
using System.Security.Claims;
using Microsoft.AspNetCore.Mvc;

namespace Controllers
{
    public class BaseController : Controller
    {
        protected string GetCurrentUserIDFromClaims()
        {
            return User.FindFirstValue(ClaimTypes.NameIdentifier);
        }

        protected List<string> AllClaimsFromAzure()
        {
            ClaimsIdentity claimsIdentity = ((ClaimsIdentity)User.Identity);
            return claimsIdentity.Claims.Select(x => x.Value).ToList();
        }

        protected string GetCurrentEmailFromAzureClaims()
        {
            return AllClaimsFromAzure()[3];
        }
    }
}

Answer 6

从用户声明中获取upn值：

var userClaims = User.Identity as System.Security.Claims.ClaimsIdentity;
string email = userClaims?.FindFirst(System.Security.Claims.ClaimTypes.Upn)?.Value;