oauth-2.0 - 未返回带客户端凭据流的范围

Question

我可以定义自定义范围并在使用 client credential flow 时返回它们吗？在 Azure AD 中？

在我的实验中，我配置了 2 个 Azure AD 应用程序，一个用于 Web API，一个用于客户端(Web API 客户端 A)。我向 Web API 添加了一个范围，但是当通过 client credential flow 请求访问 token 时, 范围未返回 . 🤔
此外，它只允许我在使用 .default 时请求访问 token 对于范围，即 api://web-api-client-credential-flow/.default .


我遇到了这个 Azure 反馈项:V2.0 Client Credentials Implement Scopes因此，客户端凭据流下的 Azure AD 似乎不支持范围？
如果没有返回我的 Web API 客户端 A 应用程序对该范围的权限，有什么意义？ Web API 如何知道守护程序应用程序是否具有执行必要操作的范围？
看来我必须使用 application permissions ?

Answer 1

是的，您必须使用应用程序权限。

范围又名委派权限仅在用户参与登录过程时适用。
它们允许您代表用户行事。

应用程序权限是赋予应用程序本身的某种角色。
它们仅适用于不涉及用户的客户端凭据身份验证。
您可以通过应用程序注册中的 list 定义应用程序的应用程序权限。
然后可以将这些分配给客户端应用程序。
获取 token 时，您必须使用 .default ，因为您无法动态更改应用权限。
你总是得到已经被授予的东西。
在 token 中，权限将在角色声明中。