使用 AAD 对 Azure API 应用程序进行身份验证时出现 401 错误

Question

我有一个 API 应用程序在网关主机上运行良好，现在网关主机已被弃用，我正在尝试关注 Migration Guide。我已经使用 2.8.1 SDK 重新部署了我的服务，并且可以使用 AAD 或 Microsoft 帐户使用浏览器登录该服务，并使用 Swagger 测试该服务。但是，我试图让客户端使用 ClientId 和 Secret 访问服务。该代码能够从 AAD 获取访问令牌，但每当我尝试访问其中一项服务资源时，总是会收到 401 错误。

当我调试服务时，我在日志中看到以下内容：

Microsoft.Azure.AppService.Authentication Verbose: 0 : Received request: GET https://[myService].azurewebsites.net/api/[myResource]
Microsoft.Azure.AppService.Authentication Warning: 0 : JWT validation failed: IDX10214: Audience validation failed. Audiences: 'https://[myService].azurewebsites.net/'. Did not match:  validationParameters.ValidAudience: '[AAD ClientId]' or validationParameters.ValidAudiences: 'http://[myService].azurewebsites.net'.
Microsoft.Azure.AppService.Authentication Information: 0 : Sending response: 401.71 Unauthorized
The thread 0x3b00 has exited with code 0 (0x0).

问题似乎在于，请求的受众是 https，但 validParameters.ValidAudiences 集合仅包含 http。

我看不到任何配置受众的方式，并且似乎在 Visual Studio 2015 创建应用服务时正在设置基于 http 的受众。有没有手动编辑 ValidAudience 集合的方法？

作为参考，我的客户端代码是：

    private static void Main(string[] args)
    {
        string app_id_url = "https://[myService].azurewebsites.net/";
        string authority = "https://login.windows.net/[myDirectory].onmicrosoft.com/";
        string clientId = "[AAD ClientId]";
        string clientSecret = "[AAD Client Secret]";
        string apiBaseUrl = "https://[myService].azurewebsites.net/";

        string aadToken = GetTokenForApplication(authority, clientId, clientSecret, app_id_url);

        var apiClient = new HttpClient { BaseAddress = new Uri(apiBaseUrl) };
        apiClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", aadToken);
        var apiResponse = apiClient.GetAsync(apiBaseUrl + @"api/[myResource]").Result;
        string apiResponseContent = apiResponse.Content.ReadAsStringAsync().Result;
        Console.WriteLine(apiResponseContent);
    }

    public static string GetTokenForApplication(string authority, string clientId, string clientSecret, string resourceUrl)
    {
        AuthenticationContext authenticationContext = new AuthenticationContext(authority, false);
        ClientCredential clientCred = new ClientCredential(clientId, clientSecret);
        AuthenticationResult authenticationResult = authenticationContext.AcquireToken(resourceUrl, clientCred);
        string token = authenticationResult.AccessToken;
        return token;
    }

Answer 1

在我的 ASP.NET 4.5 Web 应用程序中，我发现我必须指定有效受众以避免引发运行时异常。

public partial class Startup
{
    private static string _aadInstance = ConfigurationManager.AppSettings["ida:AADInstance"];
    private static string _tenant = ConfigurationManager.AppSettings["ida:Tenant"];
    private static string _realm = ConfigurationManager.AppSettings["ida:Wtrealm"];
    private static string _metadataAddress = string.Format("{0}/{1}/federationmetadata/2007-06/federationmetadata.xml", _aadInstance, _tenant);
    private static string _authority = String.Format(CultureInfo.InvariantCulture, _aadInstance, _tenant);

    public void ConfigureAuth(IAppBuilder app)
    {
        app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);

        app.UseCookieAuthentication(new CookieAuthenticationOptions());

        app.UseWsFederationAuthentication(
            new WsFederationAuthenticationOptions
            {
                Wtrealm = _realm,
                MetadataAddress = _metadataAddress,
                TokenValidationParameters = new TokenValidationParameters
                {
                    ValidAudiences = new string[] { "spn:" + _realm }
                }
            }
        );
    }
}

Answer 2

您的问题与有效受众有关。您可能有 2 个选择：

选项 1. 尝试使用 WebAPI 客户端 ID 作为 AcquireToken 方法的“资源”参数而不是其 Uri 获取令牌。

选项 2。如果以前的方法不起作用，您应该使用 Azure Resources Explorer 修改应用服务 API 的身份验证设置。导航到您的 Web API，在 config 节点下找到 authSettings JSON 文档，然后修改（在更改为读/写模式后）数组 allowedAudiences 以满足您的需要。在您的情况下，您可能需要将 http 更改为 https