Azure 来自登录用户的 Azure 资源信息的身份？

Question

到目前为止我所拥有的

我正在使用两个不同的 Node.js 项目，但我想将它们放在一起。

1. 第一个使用交互式登录（在浏览器中提交代码）然后找到我的所有（登录用户）租户。
2. 第二个使用反应来单击按钮以登录并从 Microsoft Graph 获取信息。

Azure 申请 API 权限

两者的 Azure 应用程序都具有权限 user_impersonation（用于租户/订阅信息）和 user.read（配置文件信息）。

React 应用代码

我使用了 Microsoft 提供的本教程。 我所做的唯一更改是添加 user_impersonation 的范围。

// config.js
module.exports = {
    appId: '1760c31a-....-baf68c2b3244',
    redirectUri: 'http://localhost:3000',
    scopes: [  'user.read'
    ]
  };

它使用以下身份验证库和登录 function：

 // app.js
  import { UserAgentApplication } from 'msal';

class App extends Component {
  constructor(props) {
    super(props);

    console.log(JSON.stringify(props));

    this.userAgentApplication = new UserAgentApplication({
      auth: {
        clientId: config.appId,
        redirectUri: config.redirectUri
      },
      cache: {
        cacheLocation: "localStorage",
        storeAuthStateInCookie: true
      }
    });

    var user = this.userAgentApplication.getAccount();

    this.state = {
      isAuthenticated: (user !== null),
      user: {},
      subscriptions: {},
      error: null
    };

    if (user) {
      // Enhance user object with data from Graph
      this.getUserProfile();
    }
  }

  setErrorMessage(message, debug) {
    this.setState({
      error: { message: message, debug: debug }
    });
  }

  async login() {
    try {
           await this.userAgentApplication.loginPopup(
           {
                scopes: [
                     'user.read',
                     'calendars.read'
                ],
                prompt: "select_account"
            });
           await this.getUserProfile();
    }
    catch (err) {
      var error = {};

      if (typeof (err) === 'string') {
        var errParts = err.split('|');
        error = errParts.length > 1 ?
          { message: errParts[1], debug: errParts[0] } :
          { message: err };
      } else {
        error = {
          message: err.message,
          debug: JSON.stringify(err)
        };
      }

      this.setState({
        isAuthenticated: false,
        user: {},
        error: error
      });
    }
  }

  logout() {
    this.userAgentApplication.logout();
  }
  async getSubscriptions(bearerToken) {

    const requestConfig = {
      url: "tenants",
      method: "GET",
      baseURL: "https://management.azure.com/",
      params: {
        'api-version': '2018-01-01'
      },
      headers: {
        'Content-Type': 'application/json',
        'Authorization': `Bearer ${bearerToken}`
      }
    }
    const subscriptions = await httpRequest(requestConfig);
    console.log(JSON.stringify(subscriptions.data));
    return subscriptions.data;
  }
  async getUserProfile() {
    try {
      // Get the access token silently
      // If the cache contains a non-expired token, this function
      // will just return the cached token. Otherwise, it will
      // make a request to the Azure OAuth endpoint to get a token

      var accessTokenGraphQL = await this.userAgentApplication.acquireTokenSilent({
        scopes: [
          'user.read',
          'calendars.read'
        ]
      });

      // JSON.stringify(accessTokenGraphQL.scopes) returns
      // ["User.Read","Calendars.Read","openid","profile"]

      var accessTokenSubscriptionList = await this.userAgentApplication.acquireTokenSilent({
        scopes: [
          'https://management.azure.com/user_impersonation'
        ]
      });

      if (accessTokenGraphQL) {
        // Get the user's profile from Graph
        console.log(`accessToken = ${JSON.stringify(accessTokenGraphQL)}`)
        var user = await getUserDetails(accessTokenGraphQL);

        if(accessTokenSubscriptionList){
          var subscriptions = await getSubscriptions(accessTokenSubscriptionList)
          console.log(`subscriptions = ${JSON.stringify(subscriptions)}`)
          user.subscriptions = subscriptions;
        }

        this.setState({
          isAuthenticated: true,
          user: {
            displayName: user.displayName,
            email: user.mail || user.userPrincipalName,
            accessToken: accessTokenGraphQL
          },
          error: null
        });
      }
    }
    catch (err) {
      var error = {};
      if (typeof (err) === 'string') {
        var errParts = err.split('|');
        error = errParts.length > 1 ?
          { message: errParts[1], debug: errParts[0] } :
          { message: err };
      } else {
        error = {
          message: err.message,
          debug: JSON.stringify(err)
        };
      }

      this.setState({
        isAuthenticated: false,
        user: {},
        error: error
      });
    }
  }

  render() {
    let error = null;
    if (this.state.error) {
      error = <ErrorMessage message={this.state.error.message} debug={this.state.error.debug} />;
    }

    return (
      <Router>
        <div>
          <NavBar
            isAuthenticated={this.state.isAuthenticated}
            authButtonMethod={this.state.isAuthenticated ? this.logout.bind(this) : this.login.bind(this)}
            user={this.state.user} />
          <Container>
            {error}
            <Route exact path="/"
              render={(props) =>
                <Welcome {...props}
                  isAuthenticated={this.state.isAuthenticated}
                  user={this.state.user}
                  authButtonMethod={this.login.bind(this)} />
              } />
            <Route exact path="/calendar"
              render={(props) =>
                <Calendar {...props}
                  showError={this.setErrorMessage.bind(this)} />
              } />
            <div>{JSON.stringify(this.state.user.accessToken)}</div>
            <hr></hr>
          </Container>
        </div>
      </Router>
    );
  }
}

我收到错误：

`为输入参数'范围'提供的值无效。 scope ' https://management.azure.com/user_impersonation openid 配置文件'不存在。

{"errorCode":"invalid_scope","errorMessage":"为输入参数'scope'提供的值无效。scope ' https://management.azure.com/user_impersonation openid profile'不存在。" “名称”：“ServerError”}`

Answer 1

scope 不正确。 没有 scope 称为user.impersonation 。 它应该是https://management.azure.com/user_impersonation 。

此外，您不能拥有多个受众的令牌。 https://management.azure.com用于 azure 资源。 user.read ( https://graph.microsoft.com/User.Read ) 用于 Azure AD 资源。

您应该针对不同的受众调用两次acquireTokenSilent方法。

var accessToken = await this.userAgentApplication.acquireTokenSilent({
        scopes: config.scopes
      });

更新：