.net - 从加入域的计算机在 Azure AD 中静默进行身份验证

Question

在我们的环境中，Windows 计算机已加入域，并且 Azure AD Connect Sync 用于将域连接到 Azure AD。我的目标是使用当前登录用户的上下文在 Azure 中进行身份验证。

据我了解，我需要在 available 中使用集成 Windows 身份验证 (IWA)方法。

Allows applications on domain or Azure Active Directory (Azure AD)joined computers to acquire a token silently (without any UIinteraction from the user).

描述看起来很棒。我正在尝试使用this example 。我按照说明创建了应用程序注册，唯一未能做的是第 2 步:(可选)/注册客户端应用程序/第 6 项:

At this stage permissions are assigned correctly but the client appdoes not allow interaction. Therefore no consent can be presented viaa UI and accepted to use the service app. Click the Grant/revoke adminconsent for {tenant} button, and then select Yes when you are asked ifyou want to grant consent for the requested permissions for allaccount in the tenant.

首先，我不明白它在说什么。怎么不允许交互呢？什么交互？

其次，“需要管理员同意”的值为“否”:

我不是租户管理员，但我认为“授予管理员同意...”按钮是灰色的，因为没有什么可以授予的(一旦我添加某些内容，它就会变为事件状态)。

尽管如此，我还是将 TenantId 和应用程序 ClientId 复制到示例中并尝试运行它。它失败并出现以下错误:

AADSTS65001: The user or administrator has not consented to use theapplication with ID 'b5e9bd68-5326-44ff-9fc6-c933227708ff' named'foo-bar'. Send an interactive authorizationrequest for this user and resource. Trace ID:77c69007-80cb-4eb2-b60b-f029928c5f00 Correlation ID:63be7460-11e6-49b2-88b9-a3b56025ee43 Timestamp: 2022-06-27 23:08:08Z

再说一遍，什么是交互式请求？此示例的目的不是为了说明如何在没有任何交互的情况下静默且透明地为用户进行身份验证吗？

请帮我找到缺失的部分。

Answer 1

IWA 是一种静默流程，不需要用户交互，您必须同意租户中的所有用户才能使用该应用程序。

要执行上述操作，您必须具有 MsDoc 中提到的租户管理员角色。 .

启用该角色后，请确保在添加所需的 API 权限后授予管理员同意，如下所示。

您还可以使用以下管理员同意端点来提供如下同意书:

https://login.microsoftonline.com/{your_tenant_id}/v2.0/adminconsent?
&client_id=Your_client_id
&state=12345
&redirect_uri=Your_redirect_uri
&scope= https://graph.microsoft.com/.default

接受上述同意后，您可以消除“用户或管理员尚未同意使用该应用程序”错误。