将 scope 添加到 Azure AD B2C 身份提供者后，需要多长时间才能将 scope 包含在 idp_access_token 中？

Question

我一直遇到这个问题，所以正在寻求权威的答案。

我在 Azure 中有一个 Node.js web 应用程序，启用了 Azure AD B2C 身份验证。

当我更改 scope 时：

Azure AD B2C > Identity providers > [ select my IDP (an Azure AD tenant) ]

在成功登录后返回的idp_access_token值包含新添加的 scope 之前，似乎需要很长时间/任意时间。

我发现自己做了很多随机的事情来尝试强制更改，但似乎没有什么能始终如一地工作——例如，注销并重新登录，重新启动 web 应用程序。

这需要多长时间，是否可以加快速度？

Answer 1

我试图在我的环境中重现该场景。

默认情况下，我被授予以下权限

我另外授予了User.ReadWrite.All,Application.Read.All应用程序权限，因为不允许配置文件委派权限

我按照范围 openid 配置文件的方式配置了 OpenId 提供程序

我在身份验证刀片中检查了 idtoken 和访问令牌。

然后，如果我运行用户流程，则获得与用户 1的 IDP 配置中的范围

---

与用户 2

---

然后我更改了 scope 并添加了 Directory.Read.All

注意：这里UserId claim给map给oid

还在我的应用程序的 API 权限刀片下授予Directory.Read.All权限，并授予管理员同意。

---

但是测试运行用户流时的范围在配置期间似乎没有改变。

---

但是在运行时，我可以获得 idp_access_token，其范围为 Directory.Read.All openid profile email，如下所示。 它不需要太多时间，一旦更改就返回。检查是否遗漏任何内容。

---

idp_access_token 中的范围：

---

参考： https://learn.microsoft.com/en-us/azure/active-directory-b2c/microsoft-graph-get-started?tabs=app-reg-ga