azure-active-directory - 尝试访问 v2 端点托管的 webapi 但没有运气，如果现在只有图形 api 在 v2 上工作，那么是真的吗？

Question

有一个在 v2 端点上运行的 webapi，目的是通过对图形和自定义 webapi 的单个调用来访问，使用的是 v2 授权代码授权流程，url 使用如下，

https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=14e9111f3e1-d220-415d-9bf4-d089f0b5feff&response_type=code&redirect_uri=https%3A%2F%2Flocalhost%3A8081%2Fartifactory%2Fwebapp%2Fsaml%2FloginResponse&response_mode=query&scope=api%3A%2F%2F14e9f3e1-d220-415d-9bf4-d089f0b5feff%2Faccess_as_user%20https%3A%2F%2Fgraph.windows.net%2Fuser.read%20openid%20offline_access&state=12345

范围为

api://14e9f3e1-d220-415d-9bf4-d089f0b5feff/access_as_user https://graph.windows.net/user.read openid offline_access

但是，继续失败并出现无效范围错误。如果我从资源中取出自定义 webapi，一切都会顺利进行。

进一步阅读，webpi 有一个限制

Web API can receive tokens only from an application that has the same Application ID. You cannot access a Web API from a client that has a different Application ID.

所以我很困惑，如何实现使用 v2 端点进行身份验证并访问图形和 webapi 的目标？？？？

--编辑错误消息是“AADSTS65005:应用程序‘blah’要求资源上不存在的范围‘user.read’。联系应用供应商。”

Answer 1

今天，v2 端点无法为自定义 API 颁发访问 token 。该功能正在积极开发中，但没有可分享的预计到达时间。另请注意:即使该功能可用，您也无法在多个资源中重复使用相同的访问 token ；您将能够一次同意多个资源，这样您的用户只会被提升一次，但您需要分别为每个资源请求访问 token 。