单一登录-多个应用程序Azure AD B2C

Question

我试图在Azure AD B2C中有两个应用程序（app1和app2），该应用程序是为Web api配置的，另一个应用程序是为移动应用程序配置的。

我需要我的移动应用程序与app1对话，使用app1的application-id和作用域获取访问令牌。 然后使用从app1获得的访问令牌与app2进行通信。 我在策略中的租户级别启用了SSO，但是对于提供的访问令牌，它仍然显示“拒绝授权”。

如何重用从一个应用程序获得的访问令牌以在另一应用程序中使用。

Answer 1

从几周以来，我们一直在努力克服B2C AD的这种限制（或为安全性而设计的功能）。

但是，Microsoft不支持它。

我们不想在移动登录屏幕上向移动用户显示MS登录页面（UX受到损害）。 但是微软表示，没有办法避免这种情况。 请参阅支持票上来自MS的回复。

有关更多信息： Azure AD B2C：请求访问令牌

您还将受益于阅读受支持的身份验证方案 。 我们追求类似的东西，他们称之为“后台程序或Web API服务器应用程序” 。

在此图中，在我们的示例中，服务器应用程序=移动应用程序。 但是，您会注意到，在这种情况下，假设用户已经通过身份验证（通过交互流）。

我们试图采取明智的行动，以为我们可以编写一个Auth Web API，移动设备会点击它以获取令牌，然后将此令牌传递给我们的业务逻辑API（受B2C AD保护）。 我们以某种方式获得了访问和刷新令牌，但是当测试Web应用程序（移动应用程序）将此访问令牌传递给我们的业务逻辑API时，它无法验证令牌。 B2C AD为之奋斗。 我们的分析尚未完成。

但是，我确定B2C AD不支持我们要完成的工作。

希望这会有所帮助（我实际上会建议您寻找其他解决方案）。 如果有人可以提出解决此明显业务问题的方法，我将感到高兴。