使用 B2C 租户域时，使用 Azure AD B2C 保护的 Azure 函数返回未经授权的结果

Question

给定通过 AAD B2C 保护的 azure 函数 https://login.microsoftonline.com/tfp/MyTenantName.onmicrosoft.com/signinsingunp作为发行者 url，我可以通过 msal.js 应用程序成功验证 B2C 用户的身份，好像我尝试将颁发者 url 更新为我的 b2ctenant 域登录 url(因此建议 redirect URLs to b2clogin.com )并更新 msal.js 应用程序中的权限以匹配域(myapp.b2clogin.com/tfp/MyTenantName.onmicrosoft.com/signinsingunp)，我收到相同的 azure 功能的 401，任何建议将不胜感激。

下面是详细的设置细节，

• Azure AD B2C 租户
  • 域名:MyTenantName.onmicrosoft.com
    • 应用:
      • ApplicationA-Api
        • 网络应用/API:是
        • 允许隐式流:是
        • 回复网址:https://myazurefunsapi.azurewebsites.net/.auth/login/aad/callback
        • 应用程序 ID:https://MyTenantName.onmicrosoft.com/ApplicationA-Api
        • 发布范围:读取、user_impersonation
        • API 访问:访问用户个人资料
      • 申请B-门户
        • 网络应用/API:是
        • 允许隐式流:是
        • 回复网址:https://myportal.domain.com
        • 应用程序 ID:https://MyTenantName.onmicrosoft.com/ApplicationB-Portal
        • 发布范围:user_impersonation
        • API 访问:ApplicationA-Api(读取、代表登录用户访问此应用)、访问用户个人资料(offline_access、openid)
    • 用户流程
      • 注册登录
        • 应用程序:ApplicationA-Api
        • 回复网址:https://myazurefunsapi.azurewebsites.net/.auth/login/aad/callback
        • 选择域:
          • MyTenantName.b2clogin.com
          • 登录.microsoftonline.com
• Azure 函数
  • 身份验证/授权
    • 应用服务身份验证:开启
    • 未经身份验证时采取的操作:使用 Azure AD 登录
    • 身份验证提供商:
      • Azure AAD:
      • 管理模式:高级
      • 客户端 ID:B2C-ApplicationA-ApplicationID
      • 颁发者网址:login.microsoftonline.com/......./opendid......
• 静态网站
  • B2C 集成由 msal.js 完成(v0.2.4)
  • clientID:B2C-ApplicationB-ApplicationID
  • 权限:https://login.microsoftonline.com/tfp/b2ctenantname.onmicrosoft.com/signinsingunp
  • b2cscopes:ApplicationA-Api 读取

提前致谢!

Answer 1

我终于找到了解决这个问题的方法...

花了很多功夫，但归结为这个issue raised on GitHub

本质上，我在设置 UserAgentApplication 时更改了权限，以使用其他人提到的新 b2clogin.com 域。虽然这并没有立即起作用，但我收到了您在评论中提到的相同错误，因此我必须在我的配置上设置 validateAuthority: false 。

我在下面提供了一个关于如何设置我的示例。我的 ClientID 在 Azure 中与在 MSAL.js 中相同

var msalConfig = {
      auth: {
        clientId: "xxxx",
        authority: "https://xxxx.b2clogin.com/tfp/xxxx.onmicrosoft.com/B2C_xxxx", 
        webApi: 'https://xxxx.azurewebsites.net',
        b2cScopes: this.appConfig.b2cScopes,
        validateAuthority: false
      },
      cache: {
        cacheLocation: "localStorage",
        storeAuthStateInCookie: true
      }
    };
this.clientApplication = new Msal.UserAgentApplication(msalConfig);

希望这有帮助!