Azure AD 在有效访问令牌上返回 Authentication_ExpiredToken

Question

当我调用https://graph.windows.net/myorganization/oauth2PermissionGrants?api-version=1.5 端点时，我收到了Your access token has expired. Please renew it before submitting the request.。

为了防止出现任何愚蠢的问题 - 是的，我知道建议使用 Microsoft Graph 而不是 Azure AD Graph。我知道它并且我正在使用它。但对于我目前的情况，我需要准确地请求Azure AD Graph。

测试用例：

1. 我成功登录https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=.... 并在响应中得到code。
2. 我成功兑换code并在https://login.microsoftonline.com/common/oauth2/v2.0/token上得到access_token。
3. 我成功地向任何Microsoft Graph 端点（即https://graph.microsoft.com/education/me/classes）发出请求。
4. 我打电话给https://graph.windows.net/myorganization/oauth2PermissionGrants?api-version=1.5。
5. 我收到错误 Authentication_ExpiredToken Your access token has expired. Please renew it before submitting the request.
6. 我成功地向任何Microsoft Graph 端点发出请求，所以access_token 是有效的。

根据这篇文章：https://docs.microsoft.com/azure/active-directory/develop/active-directory-appmodel-v2-overview，我可以使用这个访问令牌来访问Microsoft Graph API 和Azure AD Graph API。

所以，我正在使用 v2.0，它应该适用于那些：https://docs.microsoft.com/azure/active-directory/develop/active-directory-protocols-oauth-code。

我做错了什么？

谢谢！

Answer 1

用于调用 Microsoft Graph 的令牌不能用于调用 Azure AD Graph API。

当您查看来自 Azure AD 的访问令牌时，有一个名为 aud 的参数代表“受众”。此属性告诉接收令牌的 API 该令牌的有效受众。

如果我拥有一个 API，“WebAPI1”，并且我获得了一个受众是其他东西的令牌，例如“WebAPI2”，我应该拒绝该令牌，并且不让客户端访问我的 API。这种行为的原因应该很明显，但如果不进行此检查，则会导致重大安全问题。

Microsoft Graph 的 aud 值为 https://graph.microsoft.com/，而 Azure AD Graph API 的 aud 值为 https://graph.windows.net/。

在请求访问令牌时，您需要使用scopes 参数指定您想要令牌的特定资源。可以在here 找到此信息以及更多信息。

这里的解决方案是为不同的 API 获取不同的访问令牌，您的问题应该得到解决。

如果这有帮助，请告诉我！