使用 WAM/MSAL 中的 Azure 令牌对自定义 API 进行身份验证

Question

简要描述;简介

在编写使用 MSAL 对自定义 API 进行身份验证的桌面 .NET Core 应用程序的过程中，我遇到了一个问题，即令牌不包含自定义 API 的必要范围 - 但仅在使用 Web 帐户管理器检索令牌时（瓦姆）。

背景

我正在开发一个带有调用自定义 API 的桌面应用程序的解决方案，两者都是用 .NET Core 6 编写的。该应用程序最好能够使用当前用户帐户对 API 进行身份验证，而无需用户交互。 所有客户端都连接到特定的 Azure 租户，因此我的理解是使用 WAM 检索机器的默认 Microsoft 帐户应该可以完成此操作。

另一种解决方案是使用集成 Windows 身份验证 (IWA)，但我不希望使用此解决方案，因为它仅支持 AD FS 联合用户 - 最好让应用程序也支持并非如此的情况。

以前的步骤

我能够（以交互方式）使用 MSAL.NET 中的标准方法检索自定义 API 的必要令牌：

var scopes = new[] { "User.Read", $"api://{clientId}/access_as_user" };

var client = PublicClientApplicationBuilder.Create(clientId)
    .WithAuthority("https://login.microsoftonline.com/organizations/v2.0")
    .WithRedirectUri("customApp://auth")
    .Build();

var result = await client
    .AcquireTokenInteractive(scopes)
    .ExecuteAsync();

以这种方式检索到的令牌可用于对已设置为使用 Microsoft.Identity 的 API 进行身份验证：

builder.Services
    .AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(builder.Configuration.GetSection("AzureAd"));

问题

当我尝试改用 WAM 来检索令牌时，就会出现问题：

var scopes = new[] { "User.Read", $"api://{clientId}/access_as_user" };

var client = PublicClientApplicationBuilder
    .Create(clientId)
    .WithBroker(true)
    .Build();

var result = await client
    .AcquireTokenInteractive(scopes)
    .WithAccount(PublicClientApplication.OperatingSystemAccount)
    .WithParentActivityOrWindow(NativeMethods.GetConsoleWindow())
    .ExecuteAsync();

令牌返回没有错误，但 API 不接受它，给出错误IDX10511：签名验证失败。

尝试使用 jwt.ms 调试 JWT 令牌我可以观察到几个不同之处：

• WAM 令牌的受众 ( aud ) 是 '00000003-0000-0000-c000-000000000000' 而不是 'api://[my_client_id]'
• WAM 令牌的范围 ( scp ) 包括默认的“offline_access openid profile User.Read”，但不包括为自定义 API“access_as_user”请求的范围。

我已经尝试在 WAM 上明确设置权限和重定向 URI，但这似乎没有任何区别。

如果我从请求中删除图形User.Read范围，则从 WAM 获取令牌失败并出现以下错误，表明它是必需的：

CAA20002: AADST90008: The user or administrator has not consented to use the application with ID xx. This happened because application is misconfigured: it must require access to Microsoft Graph by specifying at least "Sign in and read user profile" permission.

问题

• 我通过 WAM 检索令牌的方式是否存在问题？
• 我是否正在尝试做一些不受支持的事情？ IE。 我不能为此目的使用 WAM 吗？
• API中的身份验证配置问题而不是令牌的检索问题？

任何帮助表示赞赏！

Answer 1

该问题与您传递的范围有关：

var scopes = new[] { "User.Read", $"api://{clientId}/access_as_user" };

这是 2 个不同 API 的范围：

• User.Read 是 MS Graph 的范围
• api://{clientId}/access_as_user 是您的自定义资源

当您发出获取 accessToken 的请求时，AAD 应该只查找第一个 User.Read 范围，并为您返回 MS Graph 的 accessToken，因此您在你的听众。

尝试从数组中删除 User.Read 权限，看看它是否有效。