c# - 使用无人值守的用户/密码创建 Microsoft GraphServiceClient

Question

我正在创建一个使用 Microsoft Graph API 连接到 Microsoft Graph 的控制台应用程序(如 https://github.com/microsoftgraph/console-csharp-connect-sample 中所示)。一切正常，但我想知道是否有一种方法可以验证用户(当我已经知道他们的用户/密码时)，而无需他们在呈现在“登录您的帐户”窗口中手动输入他们的凭据桌面。这个想法基本上是在无人值守的情况下运行应用程序，因此用户无需在应用程序启动时输入其凭据。我找不到有关该主题的任何相关信息。这可能吗？

编辑

在点击@DanSilver 发布的关于在没有用户的情况下获得访问权限的链接后，我尝试了该链接中建议的示例 (https://github.com/Azure-Samples/active-directory-dotnet-daemon-v2)。尽管这是一个强制用户进行身份验证的 MVC 应用程序(正是我想避免的)，但我已经设法在我的控制台应用程序中使用该示例中的部分身份验证代码。通过对 https://login.microsoftonline.com/myTenantId/adminconsent 的请求手动授权应用程序后我可以在我的控制台应用程序中创建一个无需用户交互即可连接到 Graph 的 GraphServiceClient。所以我将答案标记为有效。为了以防万一有人处于相同的情况，GraphServiceclient 被创建为:

GraphServiceClient graphServiceClientApplication = new GraphServiceClient("https://graph.microsoft.com/v1.0", new DelegateAuthenticationProvider(
    async (requestMessage) =>
    {
        string clientId = "yourClientApplicationId";
        string authorityFormat = "https://login.microsoftonline.com/{0}/v2.0";
        string tenantId = "yourTenantId";
        string msGraphScope = "https://graph.microsoft.com/.default";
        string redirectUri = "msalXXXXXX://auth"; // Custom Redirect URI asigned in the Application Registration Portal in the native Application Platform
        string clientSecret = "passwordGenerated"; 
        ConfidentialClientApplication daemonClient = new ConfidentialClientApplication(clientId, String.Format(authorityFormat, tenantId), redirectUri, new ClientCredential(clientSecret), null, new TokenCache());
        AuthenticationResult authResult = await daemonClient.AcquireTokenForClientAsync(new string[] { msGraphScope });
        string token = authResult.AccessToken;
        requestMessage.Headers.Authorization = new AuthenticationHeaderValue("bearer", token);                            
    }                
));

Answer 1

一个想法是使用“仅限应用程序”授权流程。这个想法是你可以让长时间运行的应用程序在没有用户身份验证的情况下访问 Microsoft Graph。主要区别在于访问 token 不是授予特定用户访问权限，而是授予您的应用访问您事先同意的资源的权限。不会有用户登录对话框，您可以通过编程方式获取访问 token 来调用图形 API。

要重申这些 token 不是针对特定用户的，请考虑向“https://graph.microsoft.com/v1.0/me”发出 GET 请求。 '.这将返回一个错误，因为访问 token 不是针对特定用户的，并且“我”没有任何意义。请求应与完整的用户 ID 一起发送，“如 graph.microsoft.com/users/someuser@contosos.com”。

有关这方面的更多信息，请访问 Get access without a user。文档页面。

另一个想法是让用户在第一次使用您的应用程序时进行身份验证，然后存储刷新 token 。这些 token 的生命周期更长(IIRC 几个月)，然后您无需在每次应用程序运行时提示用户同意。刷新 token 可以交换为有效期为 60 分钟的访问 token ，这些 token 可用于代表用户调用图形 API。

有关刷新 token 的更多信息:https://developer.microsoft.com/en-us/graph/docs/concepts/auth_v2_user#5-use-the-refresh-token-to-get-a-new-access-token