通过非 Microsoft 用户凭据获取访问令牌，无需提示

Question

我正在尝试为非微软用户无提示获取访问令牌。

它在提示下对我有用： authenticationContext.AcquireToken(resource, clientId, new Uri(uri), PromptBehavior.Always);

但没有提示，它不起作用。我尝试了以下两种方法：

1. var authContext = new AuthenticationContext(Authority); var userCredential = new UserCredential(username, password); var token = authContext.AcquireToken(resource, clientId, userCredential);

   ActiveDirectory v3 异常：访问 WS 元数据交换失败。

   ActiveDirectory v2：序列不包含任何元素。

2. new HttpRequestMessage(HttpMethod.Post, "https://login.microsoftonline.com/<tenantId>/oauth2/token");

   与：

   $"grant_type=password&resource={resource}&client_id= {clientId}&username={userName}&password={password}"

   错误描述：“AADSTS50034：要登录此应用程序，必须将帐户添加到 tenantId 目录。

我使用的用户在我尝试登录的租户中，并且它使用提示符。 我想知道为什么它不适用于其他两种方式。

谢谢

Answer 1

这里的问题可能只是访客帐户的“用户名”不是“xxx@outlook.com”。当从 MSA 帐户（如 @outlook.com 或 @live.com）在 AAD 中创建来宾帐户时，会生成一个具有唯一用户主体名称的新 AAD 用户，该名称如下所示：

    {
        "id": "d3ce3d26-xxx-xxx-xxx-5157f5308f04",
        "businessPhones": [],
        "displayName": "Shawn Tabrizi",
        "givenName": "Shawn",
        "jobTitle": null,
        "mail": null,
        "mobilePhone": null,
        "officeLocation": null,
        "preferredLanguage": null,
        "surname": "Tabrizi",
        "userPrincipalName": "shawntabrizi_live.com#EXT#@shawntest.onmicrosoft.com"
    },

注意userPrincipalName 的“奇怪”格式。您可以看到这是为我的@live.com 帐户创建的访客帐户。我通过在我的租户中拨打以下电话得到了这个：

GET https://graph.microsoft.com/v1.0/users

这里的解决方案可能是使用 userPrincipalName 值填充用户名字段，这是 AAD 知道并期望作为用户的唯一 ID，而不是原始 MSA 用户名。

下一个自然问题是为什么 xxx@outlook.com 帐户可以通过交互式登录体验登录？好吧，该页面中可能发生了很多“魔术”，无法使用 Azure Active Directory 中的资源所有者密码凭据授予进行复制。

如果这能解决问题，请告诉我。