Identity Server 4 - API 在部署到服务器时返回 401 Unauthorized

Question

我正在使用 Blazor Server 应用程序通过 Identity Server 4 进行身份验证，并可以访问 asp.net core 3.1 API。在本地，我有一个设置在端口 5000 上使用 Identity Server，在 5001 上使用 API，在 5002 上使用我的 Blazor 应用程序。

在我们的测试服务器上，我们将这三个服务器都托管在 IIS 中（Blazor 在一台服务器上，API 和 Identity Server 在另一台服务器上）。访问 Authorize 标记的控制器时，我得到 401 Unauthorized。我能够登录，并且我知道 API 仍然可以访问，因为并非所有控制器都需要授权并且数据可以通过。另外，我知道有一个令牌，因为我曾经将它打印到页面上。

在我们的测试环境中，API 不再接受 Identity Server 生成的令牌的原因可能是什么？

这是我的代码示例，如果需要，会很高兴添加更多：

授权控制器

[Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme)]
[Route("api/[controller]")]
[ApiController]
public class Controller : ControllerBase

API 资源

public static IEnumerable<ApiResource> Apis =>
  new ApiResource[]
  {
    new ApiResource("Api", "MyApi")

  };

客户端设置

 public static IEnumerable<Client> Clients =>
        new List<Client>
         {
             //Client
             new Client
            {
                ClientId = "Client",
                ClientSecrets = { new Secret("secret".Sha256()) },

                AllowedGrantTypes = GrantTypes.HybridAndClientCredentials,

                // where to redirect to after login
                RedirectUris = { "http://location:5002/signin-oidc" },

                // where to redirect to after logout
                PostLogoutRedirectUris = { "http://location:5002/signout-callback-oidc" },

                AllowedScopes = new List<string>
                {
                    IdentityServerConstants.StandardScopes.OpenId,
                    IdentityServerConstants.StandardScopes.Profile,
                    IdentityServerConstants.StandardScopes.OfflineAccess,
                    "Api"
                },
                AllowOfflineAccess = true


            }
         };

API 配置

services.AddAuthentication("Bearer")
 .AddJwtBearer("Bearer", options =>
 {
     options.Authority = AuthUrl; // IS loc

     options.Audience = "Api"; 
 });

客户端配置

services.AddSingleton<IDiscoveryCache>(sp =>
            {
                var factory = sp.GetRequiredService<IHttpClientFactory>();
                return new DiscoveryCache(
                    AuthUrl,
                    () => factory.CreateClient());
            });
            services.AddAuthentication(options =>
            {
                options.DefaultScheme = "Cookies";
                options.DefaultChallengeScheme = "oidc";
            })
            .AddCookie("Cookies")
            .AddOpenIdConnect("oidc", options =>
            {
                options.Authority = AuthUrl;
                options.ClientId = ClientID;
                options.ClientSecret = ClientSecret;
                options.ResponseType = "code id_token";
                options.SaveTokens = true;
                options.GetClaimsFromUserInfoEndpoint = true;

                // part 3
                options.Scope.Add("openid");
                options.Scope.Add("offline_access");
                options.Scope.Add("Api");
                options.RequireHttpsMetadata = false;
            });

这是我使用签名凭据的方式

// not recommended for production - you need to store your key material somewhere secure
        if (Environment.IsDevelopment())
        {
            builder.AddDeveloperSigningCredential();
        }
        else
        {
            X509Certificate2 cert = null;
            using (var certStore = new X509Store(StoreName.My, StoreLocation.LocalMachine))
            {
                certStore.Open(OpenFlags.ReadOnly);
                var certCollection = certStore.Certificates.Find(
                    X509FindType.FindByThumbprint,
                    "76588d12094bc26991faf9e3eaaa241d973fe72f", // Change this with the thumbprint of your certificate
                    false);

                if (certCollection.Count > 0)
                {
                    cert = certCollection[0];
                }
            }
            builder.AddSigningCredential(cert);
        }

我使用了通过 openssl 生成的自签名证书，并且我也通过不使用 .developerssigningcredentials 在开发人员环境中对其进行了测试。

Answer 1

确保您网站的 IIS 池可以访问您的私有证书密钥。

您可以尝试使用 LocalSystem