如何通过 MFA 身份验证在 Outlook-addin 中代表流

Question

我们正在 outlook 添加中实施 SSO。 让我们假设，为了简单起见，有两个租户。

1. 家庭租户
2. 客户租户

我们已将客户租户的用户添加为家庭租户中的访客。 因此，我们可以管理具有一定可访问性的访客用户。

我们在 Home Tenant 中创建了多租户应用注册，以获得客户租户的用户同意和身份验证。 我们在 Outlook-addin xml 中放置了应用程序（客户端）id 和应用程序 id uri，如下所示。

</OfficeApp>
    ...
    ...
    <WebApplicationInfo>
      <Id>928cd908-multi-tenant-application-id</Id>
      <Resource>api://company-domain.com/928cd908-multi-tenant-application-id</Resource>
      <Scopes>
        <Scope>Files.Read.All</Scope>
        <Scope>offline_access</Scope>
        <Scope>openid</Scope>
        <Scope>profile</Scope>
      </Scopes>
    </WebApplicationInfo>
    </VersionOverrides>
  </VersionOverrides>
</OfficeApp>

让我们假设之前已经同意，

为了进行 SSO，我正在执行以下步骤，

1. 执行 OfficeJs.auth.getAccessToken 并获取客户租户颁发的访问令牌。
2. 通过 api 调用将客户租户令牌传递给应用程序服务器。
3. 使用代表 (OBO) 请求将客户交换为家庭租户 AD 令牌。

POST /2e627697-home-tenant-ad-id/oauth2/v2.0/token HTTP/1.1
Host: login.microsoftonline.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer
&client_id=928cd908-multi-tenant-application-id
&client_secret=.m_7Qxxx
&assertion=eyJ0eXAiOiJKV1Q-customer-tenant-ad-token
&requested_token_use=on_behalf_of
&scope=api://company-domain.com/928cd908-multi-tenant-application-id/access_as_user openid

4. 收到来自家庭租户 AD 的访问令牌，因为客户租户的用户作为访客存在于家庭租户 AD 中。
5. 允许用户访问服务器资源。
6. 从服务器向 Outlook 插件发送响应。

到目前为止一切都很好，问题是，

如果我为来宾用户启用 Per-User MFA，那么当我代表来自服务器的请求时，我开始出现以下错误。

{
    "error": "invalid_grant",
    "error_description": "AADSTS50076: Due to a configuration change made by your administrator, or because you moved to a new location, you must use multi-factor authentication to access '928cd908-multi-tenant-application-id'.\r\nTrace ID: 706875e8-bfe7-44b8-a9f9-402b1f4a2201\r\nCorrelation ID: 8a4bde4c-9222-4aa0-a4d6-cd0748ff3816\r\nTimestamp: 2022-06-29 18:00:31Z",
    "error_codes": [
        50076
    ],
    "timestamp": "2022-06-29 18:00:31Z",
    "trace_id": "706875e8-bfe7-44b8-a9f9-402b1f4a2201",
    "correlation_id": "8a4bde4c-9222-4aa0-a4d6-cd0748ff3816",
    "error_uri": "https://login.microsoftonline.com/error?code=50076",
    "suberror": "basic_action"
}

有两个选项可以进行用户交互，

选项1

1. 通过调用 Officejs.auth.getAccessToken 获取客户租户令牌。
2. 将客户租户令牌发送到服务器。
3. 代表服务器创建请求。
4. 获取 50076 错误，然后将错误响应发送到插件。
5. 使用以下 url 从插件打开 MFA 的授权弹出窗口。 这将对 Home Tenat AD 执行 MFA。

const authorizeUrl = 
`https://login.microsoftonline.com/2e627697-home-tenant-ad-id/oauth2/v2.0/authorize?client_id=928cd908-multi-tenant-application-id
&response_type=id_token+token
&redirect_uri=https://company-domain.com/928cd908-multi-tenant-application-id
&scope=openid api://company-domain.com/928cd908-multi-tenant-application-id/access_as_user
&response_mode=fragment
&state=12345
&nonce=678910`

window.open(authorizeUrl)

6. MFA 完成后关闭授权弹出窗口。
7. 调用 Officejs.auth.getAccessToken 以获取客户租户令牌（2e627697-home-tenant-ad-id MFA Passed）。
8. 将带有 MFA 的客户租户令牌传递到服务器。
9. 使用客户租户令牌（2e627697-home-tenant-ad-id MFA Passed）从服务器创建代表请求。
10. 成功获取家庭租户 AD 令牌。

选项 2

1. 通过调用 Officejs.auth.getAccessToken 获取客户租户令牌。
2. 将客户租户令牌发送到服务器。
3. 代表服务器创建请求。
4. 获取 50076 错误，然后将错误响应发送到插件。
5. 调用 Officejs.auth.getAccessToken 以获取客户租户令牌（MFA 已通过）。 在这里，我不清楚在通过 2e627697-home-tenant-ad-id 的 MFA 后强制 OfficeJs 获取客户租户令牌。

问题

1. 选项 1 是通过 window.open 从 Outlook 插件代码获取 MFA，而不是通过 OfficeJs 获取 MFA。 这是正确的方法吗？
2. 如果选项 2 是正确的方法，我如何强制 OfficeJs 为 2e627697-home-tenant-ad-id 执行 MFA？

Answer 1

为确保满足 MFA，请使用 MS Graph 返回的消息作为Office.AuthOptions.authChallenge值。 例如

let exchangeResponse = await getGraphToken(bootstrapToken);
await Officejs.auth.getAccessToken({
   authChallenge: exchangeResponse.claims
});

希望有帮助