azure - 使用客户端 key 而不是用户凭据通过 MSAL.Net 获取 token

Question

我们有一个运行 AngularJS 单页应用程序 (WebApp) 的 AppService 和一个运行 .Net 服务 (Service) 的 AppService。

WebApp 提示用户登录并获取不记名 token 以便能够向服务发出请求。如果我复制不记名 token 并在 Postman 中使用它，我可以直接向服务发出请求。

如果我尝试直接向服务请求 token ，我会收到提示，要求租户管理员同意，以便所有身份验证都通过 WebApp AAD 注册完成。

我正在尝试以编程方式向服务发出请求。我没有使用用户名和密码，而是在 Web 应用程序的 AAD 应用程序注册中添加了客户端 key 。使用该 secret ，我可以获取具有 https://tenant.onmicrosoft.com/Service/.default 范围的不记名 token ，但我有点困惑，因为该 token 在 PostMan 中不起作用。我认为该 token 适用于 WebApp，而不是服务，并且我必须使用它来获取服务 token 。

我玩了一个简单的页面，它会生成一个工作 token (我可以在 Postman 中使用)，尽管这需要用户名和密码登录。 JavaScript 代码是:

window.config = {
   clientId: 'WebApp client id',
   tenant: 'Tenant id',
   redirectUri: 'http://localhost:3000',
   extraQueryParameter: 'nux=1',
   popUp: true,
   endpoints : {
    'prod':
        'Service client id'
   }
};

var user = authContext.getCachedUser();
    if (!user) {
        authContext.login();
        return;
    }
    var cachedToken = authContext.getCachedToken(window.config.endpoints.prod);
    if (!cachedToken) {
        authContext.acquireToken("**Service client id**", function(error, token) {
            console.log(error);
            console.log('Token:'+token);
        });
    }
    console.log(cachedToken);
    var t = document.getElementById("token");
    t.innerText = cachedToken;

在 localhost:3000 上运行它会生成一个可在 Postman 中使用的 token 。

现在我尝试使用 MSAL.net 以编程方式执行此操作。运行 AcquireTokenForClient 时，我得到了一个不记名 token ，但它不起作用。我不知道如何使用我的 WebApp token 获取服务 token ，并且 AcquireTokenOnBehalfOf 需要用户凭据。我也无法直接从服务获取 token ，因为我收到“需要管理员同意”错误。

result =  app.AcquireTokenForClient(scopes)
                    .ExecuteAsync().Result;
// the token in the result does not work in postman

我认为 WebApp AAD 应用程序注册是唯一获得管理员同意的 - 授予租户 是检查给定用户是否应该有权访问该应用程序，然后检查他们是否被允许的方法，代表该用户获取服务 token 。

是否可以使用客户端 key 获取该 token ，或者我们是否需要在 AAD 中创建一个虚拟用户帐户，该帐户将由所有需要直接向服务发出请求的应用程序共享？

Answer 1

对于客户端凭据(例如 secret )，您可以获得的范围在应用程序注册 API 权限中标识为“应用程序权限”而不是“委派权限”客户端凭据流无法获取委派权限流。此外，一旦您授予应用程序权限，您必须单击“授予租户”。如果不这样做，它将无法使用它。我假设您有一个 API 服务的应用程序注册，以及另一个 Web 应用程序的应用程序注册。

在服务的应用程序中，您必须在 list 中添加应用程序角色。当您尝试从 Web 应用程序添加 api 权限时，这将使应用程序权限出现。

以下是有关它的一些信息:https://joonasw.net/view/defining-permissions-and-roles-in-aad