使用 Microsoft Graph 令牌对应用服务后端进行身份验证？

Question

编辑：

我已添加“id_token”，但仍收到“未授权”响应。 这是我的登录代码：

PublicClientApplication myApp = new PublicClientApplication("My-AppID-From-App-Registration-Portal");
string[] scopes = new string[] { "User.Read" };
AuthenticationResult authenticationResult = await myApp.AcquireTokenAsync(scopes).ConfigureAwait(false);

JObject payload = new JObject();
payload["access_token"] = authenticationResult.AccessToken;
payload["id_token"] = authenticationResult.IdToken;

user = await MobileService.LoginAsync(MobileServiceAuthenticationProvider.MicrosoftAccount, payload);

原帖：

是否可以使用从 Microsoft Graph 检索到的令牌对应用服务后端进行身份验证？ 我已经尝试使用此令牌并以 AzureActiveDirectory 作为提供者调用 LoginAsync()，这不起作用。

JObject payload = new JObject();
payload["access_token"] = GraphAuthenticationHelper.TokenForUser;
user = await MobileService.LoginAsync(MobileServiceAuthenticationProvider.WindowsAzureActiveDirectory, payload);

这可能吗？

Answer 1

我认为没有，请参考文档：https://docs.microsoft.com/en-us/azure/app-service-mobile/app-service-mobile-dotnet-how-to-use-client-library#a-nameauthenticationaauthenticate-users

将 INSERT-RESOURCE-ID-HERE 替换为您的移动应用后端的客户端 ID。您可以从门户中 Azure Active Directory 设置下的“高级”选项卡获取客户端 ID。

访问令牌的受众应该是您的移动应用后端的客户端 ID。因此，如果资源是 https://graph.microsoft.com/(aud 在访问令牌中声明)，则客户端管理的身份验证将不起作用。

Answer 2

更新：在我原来的回答中，我说你不能这样做。但实际上，您可以这样做，但这样做很危险，因为理论上任何拥有有效 Microsoft Graph 令牌的人都可以访问您的 API。在我带你走这条路之前，让我描述一下代表你的最终用户访问 Microsoft Graph 的“正确”方式。

执行此操作的正确方法是使用移动后端代码中的代表流程将用户的 ID 令牌交换为 Microsoft Graph 令牌。流程如下所示：

1. 客户端使用 MSAL 启动 AAD 登录，并将资源设置为移动后端（而不是图形）。结果应该是一组标记。
2. 客户端使用移动 SDK 使用来自 #1 的 access_token 和 id_token 进行登录。

示例代码：

JObject payload = new JObject();
payload["access_token"] = {access_token.from.msal};
payload["id_token"] = {id_token.from.msal};
var user = await MobileService.LoginAsync(
    MobileServiceAuthenticationProvider.WindowsAzureActiveDirectory,
    payload);

1. 后端代码将用户的 ID 令牌（来自 x-ms-token-aad-id-token 请求标头）交换为图形令牌。这种代币交换被称为“代表”，并记录在here。我认为这可以使用 ADAL 或 MSAL 库来完成，但我找不到文档。它也很简单，您可以直接实现 HTTP 协议而无需太多麻烦。
2. 后端使用新获取的 MS Graph 令牌并进行图 API 调用。

您还可以在后端缓存您获取的图形令牌，这样每个 API 调用就不需要更多的 AAD API 调用来进行令牌交换。