c# - 如何在没有单点登录的情况下使用 Azure AD

Question

基本上，我正在为我为我们制作的员工门户实现 SSO，但我也希望能够访问图形 API(至少是 AzureAD REST API 项目，例如添加/删除/获取用户信息)，而无需通过 SSO 登录。

这样，我可以使用我认为的某种 API key / secret 类型的设置并安排以某种方式与 AD 交互的 cron 作业。从技术上讲，我可以登录并将我的帐户设置为运行此帐户的帐户，但这似乎有点老套且不可靠(例如，如果我的帐户发生问题，密码过期，更改等......那么刷新 token 将不再有效，我必须重新登录，任务可能会暂时中断。)

几个月前，当我考虑实现这一点时，我可以发誓我在某处看到过这方面的文档，但现在我一辈子都找不到它。

真的希望这不是重复的，我只是想不出搜索的措辞不会不断出现基于 SSO 的 API 信息。

更新 - 好吧，看来我已经弄清楚了(在下面发布的 Shaun Luttin 答案的帮助下:https://stackoverflow.com/a/32618417/3721165 [方便链接])

所以，肖恩收集的所有信息都非常有帮助。最初，由于文档的措辞方式以及某些示例的复杂性，这些文档相当令人困惑。但是，一旦我深入研究了一些示例，加上 Shaun 提供的一些信息，以及我自己的一些实验/研究，我就能够想出这个(基本演示/概念):

using System;
using System.Globalization;
using System.Threading.Tasks;

using Microsoft.IdentityModel.Clients.ActiveDirectory;
using Microsoft.Azure.ActiveDirectory.GraphClient;


namespace AzureADGraphApi
{
    class Program
    {
        private static string tenant = "...tenant id...";
        private static string clientid = "...client id...";
        private static string appkey = "...app key...";
        private static string aadinstance = "https://login.microsoftonline.com/{0}";
        private static string graphResourceUrl = "https://graph.windows.net";

        static void Main(string[] args)
        {
            Uri serviceRoot = new Uri(graphResourceUrl + "/" + tenant);
            ActiveDirectoryClient adc = new ActiveDirectoryClient(serviceRoot, async () => await GetToken());

            IPagedCollection<IUser> Users = adc.Users.ExecuteAsync().Result;

            bool pagesLeft = false;
            do
            {
                foreach (IUser user in Users.CurrentPage)
                {
                    Console.WriteLine(user.DisplayName);
                }
                pagesLeft = Users.MorePagesAvailable;
                Users = Users.GetNextPageAsync().Result;
                Console.WriteLine("--- Page Break ---");
            } while (pagesLeft);
            Console.ReadLine();
        }

        private static async Task<string> GetToken()
        {
            AuthenticationContext authContext = new AuthenticationContext(String.Format(CultureInfo.InvariantCulture, aadinstance, tenant));
            AuthenticationResult result = authContext.AcquireToken(graphResourceUrl, new ClientCredential(clientid, appkey));
            return result.AccessToken;
        }
    }
}

通过进一步的研究，我发现为了按照我想要的方式使用图形 API，您必须向 AquireToken 方法提供图形资源 URL ( https://graph.windows.net )，而不是您的应用 ID/URL。

所以，我接受肖恩的回答，但我也想给出该答案的工作结果。

感谢各位的帮助!

Answer 1

您需要的是一个不进行单点登录的访问 token 。 Rick Rainey 提供的链接将帮助您入门。

您可以通过调用 AcquireTokenAsync 以编程方式获取访问 token 。有多种方法可以调用 AcquireTokenAsync，具体取决于您构建的应用程序类型以及您希望如何进行身份验证。您需要决定是创建 native 客户端应用程序还是 Web 应用程序。

根据应用程序类型，身份验证的方式有很大不同。听起来您想在没有用户提示的情况下进行身份验证(即不请求输入用户名/密码)。以下内容对我有用，并且根本不涉及用户提示。它们每个都使用以下常量，您需要从manage.windowsazure.com 门户获取这些常量。如果您需要帮助找到其中任何一个，请在评论中告诉我。

private const string

    DIRECTORY_TENANT_NAME = "mytenant.onmicrosoft.com",
    DIRECTORY_TENANT_ID = "xxxxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxxxx",
    RESOURCE_URL = "https://graph.windows.net",
    SUBSCRIPTION_ID = "xxxxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxxxx",
    AUTHORITY = "https://login.microsoftonline.com/" + DIRECTORY_TENANT_NAME,

    // web application
    CLIENT_ID_WEB = "xxxxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxxxx",
    CLIENT_SECRET_WEB = "xxxxxxxx/xxxxxxxxxxxx/xxxxxxxx/xxxxxxxx=",

    // native client application
    CLIENT_ID_NATIVE = "xxxxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxxxx",

    // adminstrator
    USER_NAME = "myus<a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="35504775584c41505b545b411b5a5b585c56475a465a53411b565a58" rel="noreferrer noopener nofollow">[email protected]</a>",
    USER_PASSWORD = "xxxxxxxxxx";

现在，您可以通过以下三个选项(尽管很可能还有其他选项)来获取 token 。我已经测试了以下各项，只要您正确配置了 Azure Active Directory 租户、用户和应用程序，它们都可以工作。

AcquireToken(string resource, ClientAssertionCertificate clientCertificate) 适用于 Web 应用程序。这种方法的缺点是初始设置比较困难(PowerShell、证书创建)。优点是一旦设置就很容易使用。对于 native 客户端应用程序，它不起作用并引发此错误:AADSTS50012:客户端是公共(public)的，因此不应显示“client_assertion”。

var authContext = new AuthenticationContext(AUTHORITY);
var store = new X509Store(StoreLocation.CurrentUser);
store.Open(OpenFlags.ReadOnly);
var certs = store
    .Certificates
    .Find(X509FindType.FindByIssuerName, "mvp2015", false);
var clientCertificate = new ClientAssertionCertificate(CLIENT_ID_WEB, certs[0]);
var result = authContext
    .AcquireTokenAsync(RESOURCE, clientCertificate)
    .Result;

AcquireToken(string resources, ClientCredential clientCredential) 适用于 Web 应用程序。设置更容易，设置后也易于使用。 native 客户端应用程序不支持此方法，因为它们缺少客户端 key 。

var authContext = new AuthenticationContext(AUTHORITY);
var clientCredential = new ClientCredential(CLIENT_ID_WEB, CLIENT_SECRET_WEB);
var result = authContext
    .AcquireTokenAsync(RESOURCE, clientCredential)
    .Result;

AcquireToken(string resource, string clientId, UserCredential userCredential) 适用于 native 客户端应用程序。 Web 应用程序因以下错误而失败:AADSTS90014:请求正文必须包含以下参数:'client_secret 或 client_assertion'。 一个问题是，您登录时使用的用户必须在 Active 中正确配置目录。

var authContext = new AuthenticationContext(AUTHORITY);
var userCredential = new UserCredential(USER_NAME, USER_PASSWORD);
var result = authContext
    .AcquireTokenAsync(RESOURCE, CLIENT_ID_NATIVE, userCredential)
    .Result;

使用首选方法获得 token 后，您就可以像这样使用 Active Directory 图表。为了便于阅读，它位于 Func 中，但您可以将 accessTokenGetter 放入其自己的方法中。

Func<Task<string>> accessTokenGetter = async () =>
{
    var authContext = new AuthenticationContext(AUTHORITY, false);
    var clientCredential = new ClientCredential(CLIENT_ID_WEB, CLIENT_SECRET_WEB);
    var result = await authContext
        .AcquireTokenAsync(RESOURCE_URL, clientCredential);
    var token = result.AccessToken;
    return token;
};

var uriRoot = new Uri(RESOURCE_URL);
var uriTenant = new Uri(uriRoot, DIRECTORY_TENANT_ID);
var client = new ActiveDirectoryClient(uriTenant, accessTokenGetter);
foreach (var u in client.Users.ExecuteAsync().Result.CurrentPage)
{
    var n = u.DisplayName;
}

备注

• 当我们位于 Azure Active Directory 租户的仪表板中时，DIRECTORY_TENANT_ID 位于 Web 浏览器的地址栏中。 manage.windowsazure.com > Active Directory > 某些租户。
• 在 Azure Active Directory 中创建应用程序后，我们需要配置其权限。它位于我们的应用程序“配置”选项卡的底部。 manage.windowsazure.com > Active Directory > 某些租户 > 应用程序 > 某些应用程序 > 配置。
• 上面的演示使用了两个 NuGet 包:
  • Microsoft.Azure.ActiveDirectory.GraphClient 版本 2.1.0
  • Microsoft.IdentityModel.Clients.ActiveDirectory 版本 2.19.208020213

另请参阅

这里有一个例子:https://github.com/AzureADSamples/ConsoleApp-GraphAPI-DotNet