通过API的OAuth2资源所有者密码授予

Question

我目前正在构建一个需要OAuth2的API，但找不到要使用的库，该库只能通过RESTful API处理本机移动应用程序中的单点登录。 我发现的大多数人只有一个网络弹出窗口，该弹出窗口已被该项目否决。 当前正在运行的B2C无法使用ROPG。 有没有一种方法可以使用C＃.NET和Azure轻松地与另一个库进行此设置？

更新：

尝试按照下面的Fei Xue答案使用B2C，我们到了从Microsoft Graph获取访问令牌的地步。 在POST正文中，我们执行了以下操作：

资源= https％3A％2F％2FGraph.windows.net＆client_id = [B2C设置-应用程序-AppId]＆grant_type = password＆用户名= rob％40 [tenant] .onmicrosoft.com＆password = [密码]＆client_secret = [B2C设置-应用程序-App键-client_secret]

我们名称空间的错误是由于我们尝试使用的用户名。 这是一个使用电子邮件作为用户名的B2C租户，这就是名称空间错误的原因。 解决这个错误的唯一方法是创建一个B2C用户，电子邮件地址以租户结尾，如下所示：

rob @ [tenant] .onmicrosoft.com

我们现在正在获取访问令牌，但是该令牌无法通过我们的azure应用服务API应用进行身份验证，这是最初的目标。

我们试图完成的工作是发送对B2C登录有效的用户名和密码，并获取对api应用有效的IdToken或访问令牌。 api应用程序通过使用客户端ID和B2C设置应用程序中的秘密设置为AAD配置的应用程序服务身份验证设置连接到B2C。

更新：

尝试通过Azure Web API中的graph.windows.net令牌进行身份验证，我们在App Service –身份验证– Active Directory身份验证配置中添加了https://Graph.windows.net允许的令牌访问者。

但是，将Bearer标头中的图形访问令牌传递给API仍会导致

“此请求的授权已被拒绝”。

发现，如果像下面的示例一样将Issuer Url设为空白，则它现在接受Graph令牌！

但是，这会在尝试击中时引起问题

https：// [our_web_app] .azurewebsites.net / .auth / login / aad

现在转到普通的Microsoft登录名。 之前，它是针对我们的B2C注册政策的，因为“发行人网址”设置为：

https://login.microsoftonline.com/[tenantname].onmicrosoft.com/v2.0/.well-known/openid-configuration?p=[B2C_SignUpIn_Policy]

实际上，如果我们还将应用程序中的策略（在删除Issuer Url之前已运行）上拉到登录策略，则可以登录，但是返回的访问令牌现在在Web API中始终以未授权的形式返回电话。

发行人网址应该留空吗？

此外，由于将发卡行网址设为空白，因此当我们使用标头授权载体中的图形访问令牌发送请求时，服务器需要更长的时间来响应API调用。 从花费大约1-2秒（使用从MSAL或上面的Web登录获取的有效B2C访问令牌）到花费大约10-15秒来响应它是经过身份验证的请求。 那样的速度对我们来说是制胜法宝。 以这种方式验证图调用通常会花费这么长时间吗？

Answer 1

该功能现在可以在预览中使用，并且效果很好：

https://docs.microsoft.com/zh-CN/azure/active-directory-b2c/configure-ropc

重要说明： 文档中提到的POST URL是错误的。

https://login.microsoftonline.com/{{Aad_Tenant}}/b2c_1_ropc_auth/oauth2/v2.0/

一定是：

https://login.microsoftonline.com/{{Aad_Tenant}}/oauth2/v2.0/token?p=b2c_1_ropc_auth

调用应用程序必须启用了本机客户端，否则您将收到此错误：

AADB2C90224：该应用程序尚未启用资源所有者流。

Answer 2

Azure AD B2C已经支持“资源所有者密码授予”流，您可以像下面这样使用该流发送HTTP请求：

POST: https://login.microsoftonline.com/{tenant}/oauth2/token
resource=https%3A%2F%2FGraph.windows.net&client_id={client_id}&grant_type=password&username={userName}&password={password}&client_secret={secret}

注意：此流程仅适用于本地帐户，因为社交身份提供商（Facebook，Google等）不支持此功能。

更新资料

上面的令牌正在获取https://graph.windows.net的令牌。 要通过由Azure AD保护的Web API的身份验证，我们需要将其指定为ALLOWED TOKEN AUDIENCES，如下图所示：

Answer 3

我和Rob一起工作，我们终于接到了使用https://login.microsoftonline.com/[tenant_ending_in_onmicrosoft.com]/oauth2/token的电话

在POST正文中，我们执行了以下操作：

资源= https％3A％2F％2FGraph.windows.net＆client_id = [B2C设置-应用程序-AppId]＆grant_type = password＆用户名= rob％40 [tenant] .onmicrosoft.com＆password = [密码]＆client_secret = [B2C设置-应用程序-App键-client_secret]

我们名称空间的错误是由于我们尝试使用的用户名。 这是一个使用电子邮件作为用户名的B2C租户，这就是名称空间错误的原因。 解决这个错误的唯一方法是创建一个B2C用户，电子邮件地址以租户结尾，如下所示：

rob @ [tenant] .onmicrosoft.com。

我们现在正在获取访问令牌，但是该令牌无法通过我们的azure应用服务API应用进行身份验证，这是最初的目标。 我们试图完成的工作是发送对B2C登录有效的用户名和密码，并获取对api应用有效的IdToken或访问令牌。 api应用程序通过使用客户端ID和B2C设置应用程序中的秘密设置为AAD配置的应用程序服务身份验证设置连接到B2C。

更新：如果我在POST中添加？p = [B2C SignUpIn Policy]，则将出现以下错误：

AADB2C90224：该应用程序尚未启用资源所有者流。