是否可以向 AzureAdBearer 令牌添加多个受众？

Question

我有一个使用 MSAL 从 Azure AD 获取访问令牌的应用。这是在拥有自己的 Azure App Registry 的客户端上完成的。然后，我将此访问令牌传递给服务器，然后服务器调用 Microsoft Graph 以代表用户获取其他信息。但是，当我进行图形调用时，我得到了一个观众不匹配的失败。这似乎很合适，但现在我不确定如何将 Web 服务器受众 ID 添加到令牌中。

首先，对于此类场景，这是正确的工作流程吗？我使用 MSAL 对用户进行身份验证，然后使用 Web 服务调用图形以获取更多信息。 其次，如果使用 AzureADBearer，是否可以向访问令牌添加多个受众？我知道 JWTBearer 可以做到这一点。

//web service
services.Configure<CookiePolicyOptions>(options =>
        {
            // This lambda determines whether user consent for non-essential cookies is needed for a given request.
            options.CheckConsentNeeded = context => true;
            options.MinimumSameSitePolicy = SameSiteMode.None;

        });

        services.AddAuthentication(sharedOptions =>
        {
            sharedOptions.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;

        })
        .AddAzureAdBearer(options =>
        {
            Configuration.Bind("AzureAd", options);

        })
        .AddCookie(options => options.Cookie.SameSite = SameSiteMode.None);

Answer 1

概念

您描述流程的方式看起来像是您正在使用从客户端到 Web 服务的令牌直接代表用户调用 Microsoft Graph API。这代表流程是不正确的。

一旦您根据传入的令牌在 Web 服务中对客户端进行了身份验证，那么 Web 服务应该代表用户获取一个专门用于 Microsoft graph 的新令牌（使用第一个令牌）。

在此处查看更多详细的流程描述Azure Active Directory v2.0 and OAuth 2.0 On-Behalf-Of flow

代码示例

看看这个代码示例。它非常接近您想要实现的目标。

这里一个 WPF 应用程序首先调用 ASP.NET Core Web API，然后该 API 代表用户调用 Microsoft Graph。

ASP.NET Core 2.1 Web API calling Microsoft Graph, itself called from a WPF application using Azure AD V2

代码中需要注意的重要部分：

查看 TodoListController.cs，其中 API 首先代表用户获取新的 AccessToken，传入所需的范围，然后使用此新令牌调用 Microsoft Graph API。

 public async Task<string> CallGraphApiOnBehalfOfUser()
 {
    string[] scopes = { "user.read" };

    // we use MSAL.NET to get a token to call the API On Behalf Of the current user
    try
    {
        string accessToken = await _tokenAcquisition.GetAccessTokenOnBehalfOfUser(HttpContext, scopes);
        dynamic me = await CallGraphApiOnBehalfOfUser(accessToken);
        return me.userPrincipalName;
    }