Azure B2C ROPC 令牌对 Microsoft Graph 无效 API（缺少 x5t 声明）

Question

我们一直遵循Azure Active Directory B2C 中的指南设置资源所有者密码凭证流程，以通过用户名（电子邮件）/密码从用户检索访问令牌。 请求成功，我们得到一个有效的响应。

解码访问令牌

我们遇到的问题是当我们尝试使用此访问令牌进行图形 API 调用时，例如在 B2C 中创建另一个用户。

错误响应图 API

问题似乎是图 API 需要一个x5t 声明，它不包含在 v2 访问令牌中（据我们了解）。 然而，在 jwt 令牌的主体中声明它是 v1 令牌，即使 header 建议使用 v2 并且我们的应用程序注册清单指定为版本 2。

请求获取访问令牌：

https://<tenant-name>.b2clogin.com/<tenant-name>.onmicrosoft.com/B2C_1_ROPC_Auth/oauth2/v2.0/token

我们如何使用图 API 中的 ROPC 用户流从 B2C 收到的访问令牌？

Answer 1

@Jas Suri 说的是对的，MS Graph API 只接受Azure AD端点发布的令牌。 因此，您应该使用特定于 Azure AD 的ROPC 流程。 Azure AD B2C的 ROPC 流程通常用于获取您的自定义 api 令牌，而不是 MS Graph API 令牌。

解析令牌：

调用ms图api：

Answer 2

需要完全相同但是当我尝试获取令牌时，它会抛出错误提示

“AADSTS90036：发生了由目录服务引起的不可重试的意外错误。\r\n跟踪 ID：370a1713-c5bc-4e97-b013-70cdcd453c01\r\n相关 ID：3fcf1bfb-eee7-44eb-a38f-8e024455dfa0\r \n时间戳：2022-10-09 17:13:10Z"