c# - 通过 API 授予 OAuth2 资源所有者密码

Question

我目前正在构建一个需要 OAuth2 的 API，但找不到可使用的库来仅通过 RESTful API 处理 native 移动应用程序中的单点登录。我发现大多数只有一个网络弹出窗口，该项目已被否决。目前运行的 B2C 无法使用 ROPG。有没有办法使用 C#.NET 和 Azure 轻松地通过另一个库进行设置？

更新:

按照下面 Fei Xu 的回答尝试使用 B2C，我们已经从 Microsoft Graph 获取了访问 token 。在 POST 正文中，我们执行了以下操作:

resource=https%3A%2F%2FGraph.windows.net&client_id=[B2C Settings - Applications - AppId]&grant_type=password&username=rob%40[tenant].onmicrosoft.com&password=[password]&client_secret=[B2C Settings - Applications - App Key - client_secret]

我们的命名空间错误是由于我们尝试的用户名造成的。这是一个使用电子邮件作为用户名的 B2C 租户，这就是命名空间错误的原因。我们解决该错误的唯一方法是创建一个电子邮件地址以租户结尾的 B2C 用户，如下所示:

rob@[tenant].onmicrosoft.com

我们现在正在获取访问 token ，但该 token 未通过我们的 azure 应用服务 api 应用进行身份验证，而这正是最初的目标。

我们想要完成的是发送对 B2C 登录有效的用户名和密码，并获取对 api 应用程序有效的 IdToken 或访问 token 。 API 应用程序通过为 AAD 配置的应用程序服务身份验证设置连接到 B2C，其中包含来自 B2C 设置应用程序的客户端 ID 和 secret 设置。

更新:

尝试通过 graph.windows.net token 在我们的 Azure Web api 中进行身份验证，我们在 https://Graph.windows.net 中添加了我们的应用程序服务 – 身份验证 – Active Directory 身份验证配置中允许的 token 受众。

但是，将 Bearer header 中的图形访问 token 传递给 API 仍然会导致

“Authorization has been denied for this request”.

发现如果我们将 Issuer Url 设置为空白(如下例所示)，它现在接受 Graph token !

但是，这会在尝试点击时出现问题

https://[our_web_app].azurewebsites.net/.auth/login/aad

现在转到通用 Microsoft 登录。以前，它定向到我们的 B2C 注册策略，因为发行人 URL 设置为:

https://login.microsoftonline.com/[tenantname].onmicrosoft.com/v2.0/.well-known/openid-configuration?p=[B2C_SignUpIn_Policy]

事实上，如果我们还将应用程序内的策略(在删除颁发者 URL 之前有效)提取到登录策略中，我们就可以登录，但返回的访问 token 现在始终返回为“未经授权” Web API 调用。

发行人网址应留空吗？

此外，由于将颁发者 URL 设为空白，当我们使用 header 授权承载中的图形访问 token 发送请求时，服务器需要更长的时间来响应 API 调用。从花费大约 1-2 秒(使用从 MSAL 或上面的 Web 登录获取的有效 B2C 访问 token )到花费大约 10-15 秒来响应这是经过身份验证的请求。这种速度对我们来说是一个阻碍。 以这种方式验证图形调用通常需要这么长时间吗？

Answer 1

该功能现已提供预览版并且运行良好:

https://learn.microsoft.com/en-us/azure/active-directory-b2c/configure-ropc

重要说明:文档中提到的 POST url 是错误的。

https://login.microsoftonline.com/{{Aad_Tenant}}/b2c_1_ropc_auth/oauth2/v2.0/

必须是:

https://login.microsoftonline.com/{{Aad_Tenant}}/oauth2/v2.0/token?p=b2c_1_ropc_auth

调用应用程序必须启用 native 客户端，否则您将收到此错误:

AADB2C90224: Resource owner flow has not been enabled for the application.