c# - 使用 AAD 应用程序访问 Microsoft Graph

Question

我从我的问题开始。如何使用 Microsoft Graph 通过在 Azure AD 内执行的应用程序注册从我的 AAD 读取数据？现在详细信息...

我已在 Azure Active Directory 中创建应用注册并允许访问 Microsoft Graph:

确切地说，该应用程序具有以下权限:

• 应用程序权限
  • 读取所有用户的相关人员列表并搜索目录
  • 阅读所有用户的完整个人资料
• 委派权限(无)

我在 ASP.NET MVC 应用程序中使用以下代码根据 AAD 对我的网站进行身份验证:

public void SignIn()
{
    if (!Request.IsAuthenticated)
    {
        HttpContext.GetOwinContext().Authentication.Challenge(
            new AuthenticationProperties
            {
                RedirectUri = "/"
            },
            OpenIdConnectAuthenticationDefaults.AuthenticationType);
    }
}

这几乎是进行组织身份验证的默认设置。这很有效，我什至可以从 AAD 配置文件中读出我的用户信息:

private string GetUserName()
{                        
    var claimsPrincipal = ClaimsPrincipal.Current;           
    var firstName = claimsPrincipal.FindFirst(ClaimTypes.GivenName).Value;
    var lastName = claimsPrincipal.FindFirst(ClaimTypes.Surname).Value;
    return $"{firstName} {lastName}";
}

现在我尝试使用 Microsoft Graph 来获取头像图像。有一些官方 MS 示例可用 here 。但它们都依赖于一个名为 Microsoft.Identity.Client 的 NuGet 包，该包目前处于预览状态。另一件事是 MS 希望我在 Application Registration Portal 下注册我的应用程序这对我来说毫无意义，因为我已经注册了一个应用程序。

我已经尝试从我的声明身份中检索我的不记名 token 并在图表中使用它，如下所示:

var ci = (System.Security.Claims.ClaimsIdentity)ClaimsPrincipal.Current.Identity;
var token = ((System.IdentityModel.Tokens.BootstrapContext)ci.BootstrapContext).Token;
var endpoint = "https://graph.microsoft.com/v1.0/me/photo/$value";
using (var client = new HttpClient())
{
    using (var request = new HttpRequestMessage(HttpMethod.Get, endpoint))
    {                    
        request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);
        var response = await client.SendAsync(request);                 
        if (response.IsSuccessStatusCode)
        {
            return await response.Content.ReadAsStreamAsync();
        }                    
    }
}
return null;

但这给了我 401。

Answer 1

您需要使用应用的客户端 ID 和 key 通过 ADAL 获取 token 。

您可以从 NuGet 获取 ADAL:https://www.nuget.org/packages/Microsoft.IdentityModel.Clients.ActiveDirectory/

例如:

string authority = "https://login.microsoftonline.com/your-tenant-id";
var authenticationContext = new AuthenticationContext(authority);

string clientId = "your-app-client-id";
string clientSecret = "yourappclientsecret";
var clientCredential = new ClientCredential(clientId, clientSecret);

string resource = "https://graph.microsoft.com";
AuthenticationResult authenticationResult = await authenticationContext.AcquireTokenAsync(resource, clientCredential);

string accessToken = authenticationResult.AccessToken;

将 your-tenant-id 替换为你的 Azure AD 租户 ID 或域名(例如 mytenant.onmicrosoft.com)。将 your-app-client-id 替换为在 AAD 中注册的应用程序的客户端 ID/应用程序 ID。将 yourappclientsecret 替换为在 AAD 中为应用创建的客户端 key / key 。

我在示例中对它们进行了硬编码，以使其更易于理解。在生产中，您不应将凭据存储在代码中。