Azure 应用程序或委派权限写入用户的日历

Question

我的 Web 应用程序通过 Azure sso 对用户进行身份验证，然后使用生成的访问权限 token 来检索一些用户信息并生成属于我的应用程序的新访问 token ，该应用程序允许用户调用 Web 应用程序 api，然后将 azure token 丢弃。

稍后，用户可以使用 Web 应用程序的特定功能，其中涉及调用应用程序的 API，该 API 访问用户的 Outlook 日历并为指定的日期和时间创建新事件。

为此，我配置了 Azure 服务原则，将 Calendar.Write 权限设置为应用程序权限，然后我从 Web 应用程序 api 调用使用客户端和应用程序 key 进行身份验证的 azure graph api。这样，其余 api 不依赖于 Azure 登录流提供的可能随时过期的用户访问 token ，而是进行自己的调用。

我想知道这是否是正确的方法，或者我应该将 Calendar.Write 权限设置为委派，然后请求用户访问 token 作为 api 参数以在实现中进行图形 api 调用。但这样，如果 azure token 过期，用户必须在使用该功能之前重新输入凭据。

Answer 1

我认为这两种方法都不是“错误的”；它们各有利弊。应用程序权限更可靠、更简单，但可能会提供过多的访问权限，或者在 SaaS 应用程序中是不需要的。委派权限提供精细的访问权限并允许每个用户同意，但可靠性较低，并且需要更多的实现工作。我们通过委派权限实现了类似的事情。我们有一个后台作业，它会定期刷新缓存的刷新 token ，并将这些缓存的 token 用于集成。