应用程序之间的 Azure AD B2C SSO

Question

我们正在尝试为我们的几个应用程序实现 SSO，以便用户登录一次，然后在应用程序之间无缝切换。为此，我们使用 Azure AD B2C 来存储用户，并能够使用我们的第一个应用程序实现登录。但是，当用户切换到另一个应用程序时，我们现在面临问题:似乎如果不将用户发送到登录策略并让他/她重复登录过程，就不可能在第二个应用程序中授权用户。

这是我们目前正在做的事情:

1. 用户被发送到配置的登录策略 ( https://login.microsoftonline.com/mytennant.onmicrosoft.com/oauth2/v2.0/authorize?p=B2C_1_webapp1_login&somemore=parameters ) 并登录。
2. 用户被发送回我们的 WebApp1，并带有我们用来在 WebApp1 中生成用户 session 的 id_token 和 code 参数
3. 当用户访问 WebApp2 时，我们会从第 2 步发送代码，并在 WebApp2 中使用该代码向 Azure AD B2C 请求访问 token ( https://login.microsoftonline.com/mytennant.onmicrosoft.com/oauth2/v2.0/token?p=B2C_1_webapp2_login )

但是，在执行步骤 3 时，我们总是从 Azure 收到以下错误:

AADB2C90088: The provided grant has not been issued for this endpoint. Actual Value : B2C_1_webapp1_login and Expected Value : B2C_1_webapp2_login

这个错误非常明显，但我们只是不知道如何解决这个问题。我们一遍又一遍地阅读文档，但找不到如何解决此问题的线索。

因此，任何帮助将不胜感激。如果需要任何进一步的信息，请告诉我，我很乐意添加它们。

谢谢

莫里茨

Answer 1

您不能使用从不同策略生成的代码。 (请参阅“p”参数下的文档 - Get Token。)

您对第二个 Web 应用程序使用不同的策略是否有原因？您可以在 B2C 中创建一个新应用程序，并使用与应用程序 1 相同的策略来定位它。或者，您需要对第二个应用程序重复步骤 1 和 2，并依赖 SSO 配置。