驗證 Azure AD 令牌

Question

我有一個 angular 應用程序，我添加了 Azure 活動目錄身份驗證，我得到了 azure 以返回帶有用戶詳細信息的訪問令牌。

我將廣告令牌傳遞給我的 web api （在 .net 4.6.1 中運行）以檢查該用戶是否已經注冊並且我想驗證該令牌是否有效。

我使用了以下代碼。 但是每當我嘗試從 ConfigurationManager 恢復我的配置時，我都會收到錯誤消息

string tenantId = "someguid"; //not including these guids in here
var audience = "anotherguid";
var issuer = $"https://login.microsoftonline.com/{tenantId}/v2.0";
var stsDiscoveryEndpoint = $"https://login.microsoft.com/{tenantId}/v2.0/.well-known/openid-configuration";
var configManager = new ConfigurationManager<OpenIdConnectConfiguration>(stsDiscoveryEndpoint, new OpenIdConnectConfigurationRetriever());
try
{
    CancellationToken cancellationToken = new CancellationToken();
    var config = await configManager.GetConfigurationAsync(cancellationToken);

    var tokenHandler = new JwtSecurityTokenHandler();

    var validationParameters = new TokenValidationParameters
    {
        ValidAudience = audience,
       
        ValidIssuer = issuer,
        IssuerSigningKeys = config.SigningKeys,
        ValidateAudience = true,
        ValidateIssuerSigningKey = true,
        RequireExpirationTime = true,
        ValidateLifetime = true
    };

    SecurityToken validatedToken = new JwtSecurityToken();
    tokenHandler.ValidateToken(token, validationParameters, out validatedToken);

    return validatedToken;
  }

IOException：IDX20807：無法從以下位置檢索文檔：“https://login.microsoft.com/145fa4fc-d5f6-489c-affn-6407cca77ef0/v2.0/.well-known/openid-configuration”。 HttpResponseMessage：'StatusCode：400，ReasonPhrase：'錯誤請求'，版本：1.1，內容：System.Net.Http.StreamContent，標題：

我是否在 azure 中遺漏了某些內容，還是應該以其他方式獲取配置？ 任何方向將不勝感激。

Answer 1

• 錯誤IDX20807: Unable to retrieve document from: 'https://login.microsoft.com/145xxxxxxx7ccxxxxf0/v2.0/.well-known/openid-configuration ://login.microsoft.com/145xxxxxxx7ccxxxxf0/v2.0/.well-known/openid-configuration 表示：OIDC 元數據https://login.microsoftonline.com/。 well-known/openid-configuration is not valid 由於web configuration有問題或在應用程序中未正確配置。可能是authority參數未正確識別。

I see you have given wrong metadata url in place of https://login.microsoftonline.com as I see you have given wrong metadata url in place of https://login.microsoft.com

您還需要在 appsettings.json 中添加“權限”。 這是元數據 url 否則必須給出實例和域

（權限格式：“ https://login.microsoftonline.com/<tenantId>" ）

"AzureAd": {
    "Instance": "https://login.microsoftonline.com/",
    "Domain": "yourtenantdomain",
    "ClientId": "My Client Id",
    "TenantId": "<common or organizations>", // must be there in Multi Tenant application 
    "CallbackPath": "/signin-oidc"
  },

並嘗試使用 dotnet 版本 4.7 或更高版本，並確保在 tls 版本為 1.2 或更高版本上運行