azure - 使用 azure-cli 的 Azure Active Directory 访问 token

Question

我在 Azure 应用服务上有一个 Web 应用程序，需要 Azure Active Directory 身份验证。我可以使用 OAuth 2.0 flow for service-to-service communication 从其他应用程序中连接接收安全应用程序的访问 token 或Managed Service Identity (MSI) .

微软为 MSI 提供了一个库，Microsoft.Azure.Services.AppAuthentication ，用于还支持使用 azure-cli 中的凭据的身份验证工具。

但是，该库目前处于预览状态，它无法在我的系统上运行，但我设法找到了它的 source code on github .

relevant part似乎在调用

$ az account get-access-token <resource>

但是，当我尝试使用我尝试访问的应用程序的资源名称时，出现以下错误:

Get Token request returned http error: 400 and server response: {"error":"invalid_grant","error_description":"AADSTS65001: The user or administrator has not consented to use the application with ID <application id> named <application name>.

对于资源名称，我尝试了应用程序 ID URI 和客户端 ID。

有人设法使用 azure-cli在类似的场景中获取访问 token ？

Answer 1

该错误表明您需要同意该应用程序(CLI)访问该 API(范围/资源)。

最快的方法是为 CLI 构建一个 URL 来同意 CLI 访问您的应用程序。 cli 应用程序 ID 为 04b07795-8ddb-461a-bbee-02f9e1bf7b46 .

类似这样的事情。

https://login.microsoftonline.com/<your-tenant-name-or-id>/oauth2/v2.0/authorize?response_type=code&client_id=04b07795-8ddb-461a-bbee-02f9e1bf7b46&scope=<the scope of the target app/api>