如何在 asp.net mvc 中使用 ms graph api 更改 AD B2C 用户密码

Question

我想允许用户通过提供当前密码和新密码来更改我的应用程序中的密码（不是重置，而是实际更改）。

看着documentation，我试过了，调用没有失败，但是旧密码和新密码都不起作用，我不得不删除用户。作为参考，我将发布我的代码：

    var graphClient = GetGraphServiceClient();

    var identity = new ObjectIdentity
    {
        Issuer = Globals.Tenant,
        IssuerAssignedId = userEmail,
        SignInType = "emailAddress"
    };

    var user = new User
    {
        PasswordProfile = new PasswordProfile
        {
            Password = newPassword
        },
        Identities = new ObjectIdentity[] { identity }
    };

    await graphClient.Users[userId]
        .Request()
        .UpdateAsync(user);

我从文档中推测并环顾四周，这不是执行此操作的正确方法，因为我需要代表已登录用户而不是应用程序执行此操作。但是，对于 AD B2C，在门户下，我无法向我注册的应用授予除 open_id 或 offline_access 之外的委托权限。

在遇到this 之后，我认为我需要使用登录用户的访问令牌而不是应用程序的访问令牌来实际尝试此调用。所以我将用户的令牌代码分配给一个声明，以便我以后可以访问它：

//in startup.auth.cs
 private async Task OnAuthorizationCodeReceived(AuthorizationCodeReceivedNotification notification)
        {
            try
            {
                notification.AuthenticationTicket.Identity.AddClaim(new Claim("access_token", notification.Code));

...

//in changePassword() method:
            //retrieve user access code from the claim stored previously when logging them in.
            var userToken = ClaimsPrincipal.Current.FindFirst("access_token").Value;

            using (var client = new HttpClient())
            {
                client.BaseAddress = new Uri(Globals.GraphApiEndpoint);
                client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", userToken);
                try
                {
                    JObject o = JObject.FromObject(new
                    {
                        currentPassword,
                        newPassword
                    });
                    await client.PostAsJsonAsync($"v1.0/me/changePassword/", o.ToString());

                }
                catch(Exception ex)
                {
                    //never any exception. always succeeds!
                }
            }

无论我输入什么密码，上述方法总是成功。但密码显然根本没有改变。我究竟做错了什么？有没有其他方法可以做到这一点？

编辑：如果我执行以下操作，我的第一种方法似乎有效：

            var user = new User
            {
                PasswordProfile = new PasswordProfile
                {
                    Password = newPassword,
                    ForceChangePasswordNextSignIn = false
                },
                Identities = new ObjectIdentity[] { identity }
            };

            var userInfo = await graphClient.Users[userId]
                .Request()
                .UpdateAsync(user);

但是，现在的问题是我无法首先使用用户的旧密码进行验证，因为它只接受新密码并更新它。有什么想法吗？

编辑 2：通过邮递员尝试并在尝试使用获取用户令牌的第二种方法并在“v1.0/me/changePassword/”端点请求它时得到“x5t 无效”后，我能够找到此回复here：

“很遗憾，B2C 租户不支持此方法来重置密码，因为 B2C 租户的 Graph API 中没有 UserAuthenticationMethod.ReadWrite.all 权限。B2C 租户中唯一可用的委托权限是offline_access 和 openID。在 B2C 租户中重置密码的可用方法是管理员通过 Azure 门户执行密码重置或使用密码重置策略。

目前仅标准 Azure AD 租户支持通过 Graph API 重置密码。您可以在我们的反馈门户上发布关于 B2C 租户中此功能的想法。”

所以我猜我以某种方式能够使用图形 api 更改上面的密码配置文件这一事实不应该发生？

Answer 1

B2C 租户中唯一可用的委派权限是 offline_access 和 openID。

这不是真的。

要调用 Microsoft Graph API，您必须使用 AAD auth flow 而不是 AAD B2C 身份验证流。因此，您无需使用与您的 b2c 用户流使用的相同的 AAD 应用程序（应用程序注册）。

您可以创建一个新的 AAD 应用，其类型为仅限此组织目录中的帐户（仅限您的 b2c 租户 - 单一租户） 或 任何组织目录中的帐户（任何 Azure AD 目录 -多租户）。

然后您可以将 Microsoft Graph 权限 UserAuthenticationMethod.ReadWrite.all 分配给它，并使用这个新的 AAD 应用生成访问令牌以调用 Microsoft Graph。

类型为任何身份提供者或组织目录中的帐户（用于使用用户流对用户进行身份验证）的 AAD 应用无法添加 Microsoft 委派权限。

我们可以成功调用Microsoft Graph Explorer中的POST https://graph.microsoft.com/v1.0/me/changePassword为B2C用户修改密码，这也证明Microsoft Graph确实适用于B2C用户。

同理，使用Update user修改密码也是可行的。

但是，现在的问题是我无法首先使用 用户的旧密码，因为它只接受新密码和更新 它。有什么想法吗？

我不太明白can't first validate this using the user's old password 是什么意思。如果您需要调查此方向，请提供有关此问题的更多详细信息。