oauth-2.0 - ROPC - 获取 "invalid_grant"错误，描述为 "AADSTS50126: Invalid username or password"

Question

POST /{{AAD}}/oauth2/v2.0/token HTTP/1.1
Host: login.microsoftonline.com
Content-Type: application/x-www-form-urlencoded
Cache-Control: no-cache
Postman-Token: 611fa720-e1f4-5bbc-e0f7-b7620bab24af

client_id={{client_id}}
&username=username@domain.com
&password={{password}}
&grant_type=password
&scope=https%3A%2F%2Fgraph.microsot.com%2FMail.Read
&redirect_uri=https%3A%2F%2Flocalhost%3A1234

对于上述请求，我得到的响应如下:

"error": "invalid_grant",
    "error_description": "AADSTS50126: Invalid username or password.\r\nTrace ID: a0bd31e0-59e3-4836-b654-8e449d491c00\r\nCorrelation ID: de329d02-e714-48bb-a876-387167034ba3\r\nTimestamp: 2019-03-05 11:12:51Z",
    "error_codes": [
        50126
    ]

我使用相同的密码登录组织邮件。但我仍然收到此错误。我可以看到用户名在目录中可用。委派的权限也被授予。有人可以解释我错过了什么吗？

这个错误的原因是什么？

1. 我已经在我的个人 outlook 帐户中创建了应用程序，使用 https://apps.dev.microsoft.com我正在尝试阅读组织邮件。

2. 我们的组织正在使用单点登录

Answer 1

以下是如何使用资源所有者密码凭证 (ROPC) 获取 token 的确切示例

第 1 步:

像这样设置您的请求 URL:

https://login.microsoftonline.com/ YourTenantName/TenantID.onmicrosoft.com/oauth2/v2.0/token

看截图

您可以在 Azure 门户的右上方获取您的租户名称。看看

屏幕截图如下:

第 2 步:

请求头格式

第 3 步:

根据您的申请信息按照以下格式设置您的请求正文:

client_id:您的客户 ID

client_secret:您的应用程序 secret

用户名:您在该应用程序中的用户名

密码:您用于此应用程序的密码

grant_type:密码

scope:https://graph.microsoft.com/.default 或您的首选范围

请参阅下面的屏幕截图了解请求正文格式:

作为响应，我按预期获得了 token 。见下图:

问题的可能原因:

1. 此代码流不能使用个人账号

2. 如果您更改了应用程序密码并尝试使用旧的，则可能会发生这种情况。

3. 您的用户名和密码可能与当前租户不同。

您可以尝试上面的示例来按预期获得您的请求。您还可以检查 azure 门户以检查您的应用程序是否已成功创建。有关更多信息，您可以查看 here

注意:您使用的个人帐户不适合此流程。见下图: 详情见微软官方文档here