如何使用 Azure Active Directory 为外部应用程序设置客户端凭据流

Question

我们得到以下情况：

外部网络

• 1 一些我们无法控制的应用程序

内部网络：

• 1 个内部 api（天蓝色函数）
• Active Directory B2C

我想根据微软官方文档(first bullet point) 保护我的内部api。但要做到这一点，我们需要使用活动目录对客户端进行身份验证。

由于调用我们 api 的客户端是另一个应用程序（不是用户），我们需要根据 OAuth2 使用 客户端凭据流。然后，身份提供者必​​须向我提供一个包含自定义范围的令牌（对方可以检查）

不幸的是，在阅读了大量有关如何使用 Azure AD 的文档后，我无法检索包含自定义范围的 JWT 令牌。

我已经尝试在活动目录刀片中注册一个应用程序：

在其设置页面上，我尝试注册权限（这似乎是 AD 世界中的范围），但它只显示官方的 microsoft api。

如何为外部 api 添加权限？

使用应用密钥创建的令牌也不包含“scp”或“范围”声明。如何将范围声明放入令牌？

更新 1

我在 AD B2C Blade 中为我的 api (our-api) 注册了一个应用程序：

对于我在 AD Blade 中注册应用程序的客户端（TestClient 1 和 TestClient 2）：

TestClient 1 需要我的“our-api”应用程序的权限：

TestClient 2 不需要任何权限：

当我尝试使用 TestClient 1 登录 AD 时，我得到了预期的 access_token。但是，如果我尝试以 TestClient 2 身份登录，我也会得到一个 access_token。这个过程不应该失败吗？如何验证只有 TestClient 1 有权限？

Answer 1

如何验证只有 TestClient 1 有权限？

你可以在jwt.io解析你的token，你可以检查token的权限。

v1 令牌示例

当我尝试使用 TestClient 1 登录 AD 时，我得到了预期的 access_token。但是，如果我尝试以 TestClient 2 身份登录，我也会得到一个 access_token。

首先，您可以使用任何应用程序为您可以在应用程序的 Requried 权限中找到的任何 API 获取 access_token，即使您尚未将它添加到应用程序的 Requried 权限中，但您不能使用此 access_token 来访问API 的资源，因为令牌没有权限。正如您所提到的，您创建了自己的 API，因此该 API 没有应用程序权限。并且在客户端凭据流程中，它不代表用户，因此只有应用程序权限在此流程中起作用，并且您的两个测试应用程序的令牌都没有权限。