如何使用 MSAL 代表使用 AAD v1 的用户获取访问令牌？

Question

我有一个 Web 应用 (Angular 7)，它使用 MSAL Angular 通过 Azure AD 对用户进行身份验证，并获取访问令牌以访问我的 Web API (.NET 4.6)。这两个应用程序都在 Azure 门户中注册，并具有以下权限，如 here 所述：

• Web 应用程序：user_impersonation 用于 Web API（委托）
• Web API：User.Read; Mail.Send 用于 MS Graph（委托）

现在我想使用 ADAL for .NET 从 Web API 调用 Microsoft Graph 以获取一些数据 on behalf of a user。

在this instructions 之后，我应该配置consentScopes 和protectedResourceMap，但由于我使用的是AAD v1，因此我无法在增量同意的情况下使用范围。

我应该如何配置我的 Web 应用以获取 Web API 和 MS Graph 的访问令牌？

我found 可以使用 MSAL.js 获取 AAD v1.0 的令牌（并且我能够与我的 Web API 进行通信），但我不知道如何为 代表与 MS Graph 进行 Web API 通信的流程。

更新

这是从 Web API 发出访问令牌请求的代码：

string accessToken = null;
var userAssertion = new UserAssertion(
    <userAccessToken>, 
    "urn:ietf:params:oauth:grant-type:jwt-bearer", 
    userName);
var authority = "https://login.microsoftonline.com/" + <tenant> + "/";
var clientCredencial = new ClientCredential(<clientId>, <clientSecret>);
var authContext = new AuthenticationContext(authority, null);

try
{
    var authResult = await authContext.AcquireTokenAsync(
        "https://graph.microsoft.com", 
        clientCredencial, 
        userAssertion);
    accessToken = authResult.AccessToken;
}
catch (AdalServiceException ex) { throw; }

Web 应用程序在 Web API 清单中添加为 knownClientApplications：

"knownClientApplications": [
    "<WebAppAppId>"
],

这些是在 Web App (MsalModule) 中设置的范围：

consentScopes:
[
    'https://webapi.example.com/user_impersonation'
],

在这种情况下，Web 应用在同意屏幕上需要以下权限：

• 访问 WebAPIName
• 随时访问您的数据
• 查看您的基本资料

如果我尝试获取 MS Graph 的访问令牌，则会收到错误消息：

{“AADSTS65001：用户或管理员未同意使用 ID 为“WebApiClientId”、名为“WebApiAppName”的应用程序。为此用户和资源发送交互式授权请求。}

Answer 1

如错误消息所示，您缺少的是同意 Web API 代表已登录用户访问 Microsoft Graph。

假设您已将 Web API 的应用注册配置为需要 Microsoft Graph 的适当委派权限，您可以通过三个选项来提供所需的同意。

1. 提供来自 Azure 门户的管理员同意。 如果仅打算在您的租户中使用，则租户的管理员可以简单地导航到 Web API 的应用注册，然后授予管理员对所需权限的同意。 （有关屏幕截图和更多详细信息，请参阅this answer 的选项 1。）

2. 通过构建适当的 URL 提供管理员同意。 使用门户授予管理员同意的替代方法是构建同意 URL。在这种情况下，您将为 Web API 构建同意 URL。 （有关屏幕截图和更多详细信息，请参阅this answer 的选项 2。）

3. 在运行时，在同意 Web 应用期间，利用 knownClientApplications。如果您将 Web App 的 AppId 添加到 Web API 的应用注册清单中的 knownClientApplications 列表中，当要求用户同意 Web 应用时，他们还将被提示同意 Web API 也需要的任何权限。如果您使用 v2 端点登录到 Web 应用程序（听起来像您），这种方法仅在客户端请求默认范围（即预先注册的权限，例如 https://my.api.example.com/.default）时才有效。