如何在 azure 上为基于 B2C 的应用程序注册添加秘密

Question

我在 Azure 上有一个应用程序注册，用于使用 ROPC 流对请求进行身份验证，以便我们可以模仿真实的用户访问令牌并测试我们的 API。 这是有效的，但为了使这更安全，我们希望能够说请求中需要一个秘密。

这不是 ROPC 的默认设置，因为它不打算与机密一起使用（注意 - 我们不能在我们正在进行的这部分测试中使用客户端凭据）。

应用程序注册与 B2C 用户流设置一起使用。 我不认为这与这个问题太相关，但我可能是错的。

目前的工作电话如下 -

在 azure 上，要允许 ROPC 流，您需要将应用程序设置为允许公共流。

我相信此设置会阻止请求中所需的任何形式的客户端机密或证书。

微软文档似乎建议可以在 ROPC 调用中添加一个秘密并使其成为必需，但在将上述“公共”azure 设置设置为 true 时，我无法找到一种方法。 关闭此选项后，您会收到一条错误消息，指出由于资源所有者流是私有的，因此不允许它。

这是 Microsoft 文档的一部分 - https://docs.microsoft.com/en-us/azure/active-directory/develop/v2-oauth-ropc这似乎表明您可以将应用程序设为私有，我只是看不到在允许流动的同时如何。

Answer 1

你提到的这个链接是关于 Azure AD，但不是 Azure AD B2C。 所以有两种方法可以获取不同格式的访问令牌。 此外，在 Azure Active Directory B2C 中使用授权码流更安全。

---

一种是使用您的 AAD B2C 目录关注AAD Docs ，请参阅说明。 注意： scope不支持 application-id，它与 API Permissions 中的权限有关。

POST https://login.microsoftonline.com/{b2c-tenant-name}.onmicrosoft.com/oauth2/v2.0/token
client_id={b2c-application-id}
&scope=openid offline_access
&username={username}
&password={password}
&grant_type=password
&client_secret={client_secret, if your app is not a public client}

---

[推荐]另一个是在Azure AD B2C中测试ROPC流。 参数中没有client_secret ，所以不要求是否公开。

https://{b2c-tenant-name}.b2clogin.com/{b2c-tenant-name}.onmicrosoft.com/{B2C_1_ROPC_Auth, name of ROPC flow}/oauth2/v2.0/token

username={username}
&password={password}
&grant_type=password
&scope=openid offline_access {b2c-application-id}
&client_id={b2c-application-id}
&response_type=token id_token