如何验证 Azure AD 访问的 appid

Question

我们有一个执行 JWT 令牌身份验证的 .NET Core 应用程序。此应用程序在 Azure AD 中注册，客户端 ID 为 abcde，API 范围为 api://abcde。我们的租户注册了其他应用程序，其中一个的客户端 ID 为fghij。我注意到的是，如果我将这个客户端 ID 与它的秘密和 API 范围 api://abcde 一起使用，我就能够生成一个访问令牌并访问这个范围下的 API。

services.AddAuthentication(options =>
{
    options.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(options =>
{
    options.Authority = $"{ Configuration.GetValue<string>("AzureAD:Instance") }/{ Configuration.GetValue<string>("AzureAD:TenantId") }/";
    options.TokenValidationParameters = new Microsoft.IdentityModel.Tokens.TokenValidationParameters
    {
        ValidAudience = Configuration.GetValue<string>("AzureAD:Audience"),
        ValidIssuer = $"https://sts.windows.net/{ Configuration.GetValue<string>("AzureAD:TenantId") }"
    };
});

我想到的解决方案是验证访问令牌中的 appid 字段。我怎样才能做到这一点？基本上我想确保只有客户端 ID abcde 可以请求范围 api://abcde 的访问令牌。

"aio": "abcde=",
"appid": "abcde", //client id of the application in Azure AD
"appidacr": "1",

Answer 1

可以先获取ClaimsPrincipal再使用

ClaimsPrincipal.Current.FindFirst("appid").Value

获取appid字段的值。然后判断该值是否等于你指定的app id。

Answer 2

您可以更改默认授权策略以验证 appid 声明。 开箱即用，默认策略是：

new AuthorizationPolicyBuilder()
    .RequireAuthenticatedUser()
    .Build();

你可以改成：

    builder.Services.AddAuthorization(options =>
    {
        options.DefaultPolicy = new AuthorizationPolicyBuilder()
            .RequireAuthenticatedUser()
            .RequireClaim("appid", "allowedApp1", "allowedApp2")
            .Build();
    });

请参考Setting global authorization policies using the DefaultPolicy and the FallbackPolicy in ASP.NET Core 3.x