如何针对多个 Azure Active Directory (ClientIds) 验证 JWT 令牌？

Question

我有一个 Asp.Net Core 2.0 WebApi，它要求对所有请求进行身份验证，并且它使用 JWT 令牌验证，如下所示：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme) .AddJwtBearer(options => { options.Authority = this._configuration.GetValue<string>("Authority"); options.Audience = this._configuration.GetValue("ClientId"); }); ... app.UseAuthentication();

我还有两个客户端应用程序：Angular4 web app 和 Web Api。

所有三个应用程序都有自己的 AAD 应用程序注册 = 每个都有不同的 ClientID 但都在同一个租户（授权）上。

是否可以设置 Web Api 应用程序的方式，它针对多个 AAD 验证令牌（令牌可以由三个不同的 AAD = 三个不同的 ClientID 生成）？

我知道我可以使用“client_credentials”流程在客户端生成令牌并使用该令牌进行 Api 调用，但我必须处理令牌刷新等问题。所以，我只是想知道是否有更简单的方法.

谢谢。

Answer 1

您无需关注不同的客户端 ID。无论在哪个客户端，当获取访问令牌来调用由 AAD 保护的 Web api 时，访问令牌中的audience 声明应该是相同的：您为 API 应用注册的 App ID URI。 API 端应验证访问令牌中的受众声明是否与 Web api 的 App ID URI 匹配，它不关心哪个客户端发送访问请求。