在自定义策略中获取 Azure AD B2C 范围

Question

我尝试创建一个自定义策略，我想获得一些声明并将其发送到我的 REST API。 我的 API 是用电子邮件、givenName 等调用的……但是通过查询字符串（如 client_id、resource_id 和大多数范围）传递的声明是空的。

我在这里找到了获取 client_id 的解决方法： Get the Azure AD B2C Application client id in the custom policy

但我没有发现关于范围的任何信息。

这是我的 REST API 声明提供程序：

<ClaimsProvider>
    <DisplayName>REST API</DisplayName>
    <TechnicalProfiles>
        <TechnicalProfile Id="AzureFunction-SendClaims">
            <DisplayName>Send Claims</DisplayName>
            <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.RestfulProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null"/>
            <Metadata>
                <Item Key="ServiceUrl">https://XXXX.azurewebsites.net/api/XXXX</Item>
                <Item Key="AuthenticationType">None</Item>
                <Item Key="SendClaimsIn">Body</Item>
            </Metadata>
            <InputClaims>
                <InputClaim ClaimTypeReferenceId="givenName"/>
                <InputClaim ClaimTypeReferenceId="client_id" PartnerClaimType="clientId" DefaultValue="{OIDC:ClientId}"/>
                <InputClaim ClaimTypeReferenceId="resource_id"/>
                <InputClaim ClaimTypeReferenceId="email"/>
                <InputClaim ClaimTypeReferenceId="otherMails"/>
                <InputClaim ClaimTypeReferenceId="grant_type"/>
                <InputClaim ClaimTypeReferenceId="scope"/>
            </InputClaims>
        </TechnicalProfile>
    </TechnicalProfiles>
</ClaimsProvider>

Answer 1

我认为没有办法获得范围。 您可以在此处查看可从 B2C 政策中访问的声明和属性列表

Answer 2

可以使用 OpenId 连接声明解析器检索范围：

<InputClaim ClaimTypeReferenceId="Scope" DefaultValue="{OIDC:Scope}"/>

请参阅 OpenID Connect 特定声明的文档

Answer 3

在您的自定义策略中，以简单明了的方式自由且安全地发送变量。 传递范围的上下文是当您从用户会话调用 REST API 时，因此您必须请求自定义策略令牌。

您可以通过两种方式使用 MSAL 库（我更喜欢这个）： https ://docs.microsoft.com/en-us/azure/active-directory/develop/scenario-web-api-call-api -acquire-token?tabs=aspnetcore

或者，通过直接调用自定义策略并在范围部分的字符串查询中，即

scope=openid profile offline_access https://yourtenant.onmicrosoft.com/demoapi/demo.read https://kytos.onmicrosoft.com/demoapi/demo.write

不要忘记 html 编码范围=openid%20profile%20offline_access%20https%3A%2F...。