用于访问 Microsoft 图形 API 的 Azure ADAL 库

Question

我已经在 Azure AD 中注册了一个本机应用程序并授予所有委托访问图形 API 的权限。我正在尝试使用控制台解决方案 (exe) 测试此解决方案，其中包含以下代码，该代码使用客户端 ID 和密码

  private static async void AcquireTokenAsync() {
            AuthenticationContext context = new AuthenticationContext("https://login.windows.net/xxxxxx-xxxx-485b-a40f-xxxxxxxx/oauth2/token", true);
            var result = await context.AcquireTokenAsync("https://graph.microsoft.com",
                                                      new ClientCredential("xxxxxx-32cf-xxxx-8888-555555555555",
                                                      "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxV89cWfH0w="
                                                      )
                                                      );

            HttpClient client = new HttpClient();
            client.DefaultRequestHeaders.Add("Authorization", "Bearer " + result.AccessToken);
            HttpResponseMessage response = await client.GetAsync("https://graph.microsoft.com/v1.0/users/");
            string retResp = await response.Content.ReadAsStringAsync();
            string token = result.AccessToken;
            Console.WriteLine(token + "\n" + restResp);

}

检索令牌没有问题。我正在获取访问令牌，但在使用令牌的图形 api 调用中出现以下错误/响应

{
  "error": {
    "code": "Authorization_RequestDenied",
    "message": "Insufficient privileges to complete the operation.",
    "innerError": {
      "request-id": "cb7aaaa9-d9a0-485a-7777-b5bfe68ba771",
      "date": "2017-07-22T11:01:49"
    }
  }
}

请提出问题所在

Answer 1

请查看委派权限和仅限应用权限here 之间的区别。

您遇到的问题是您已请求对 Graph API 的委托权限，但随后您正在获取仅应用程序令牌，这需要不同类型的权限。如果您take a look at your token，您将看到您的令牌缺少调用图表所需的声明。

相反，您需要执行以下操作之一：

1. 按照授权码授予流程获取应用程序 + 用户令牌。这将导致对 Graph 的委派访问，并且您的调用应该可以工作。
2. 请求图形 API 的仅限应用程序权限。这将允许您当前的身份验证方法访问 Graph API。但是，所有 App Only 权限都需要管理员同意该应用程序。