用于服务的 Azure ADB2C 请求令牌

Question

上下文

我了解 Azure AD B2C 对 oauth2 client_credentials 流有限制，但我发现可以向 AD 而不是 AD B2C 再次请求令牌。

据我了解，这是对授权域的更改，所以不要使用：

https://{tenant}.b2clogin.com/{tenant}.onmicrosoft.com/{policy}/oauth2/v2.0/token

我们应该使用：

https://login.microsoftonline.com/032bba1a-4a23-41d0-8713-69ad1a38cf69/oauth2/v2.0/token

---

问题

我的问题是，如果我向它添加一个范围，例如 https://graph.microsoft.com/openid/.default 或来自不同应用程序的其他应用程序（这是我打算使用的应用程序）https://{tenant}.onmicrosoft.com/backendtestapi/api/.default，我会收到此错误：

AADSTS500011: The resource principal named https://graph.microsoft.com/openid was not found in the tenant named xxxxx-xxxxx-xxxxx-xxxxx. This can happen if the application has not been installed by the administrator of the tenant or consented to by any user in the tenant

如果我请求此范围，我不明白为什么会出现错误。有没有大神赐教？

非常感谢！

Answer 1

请注意，Microsoft Graph 是官方 API，其 scope 对于 V2.0 具有固定的写入格式 https://graph.microsoft.com/.default。

将https://graph.microsoft.com/openid/.default 更改为https://graph.microsoft.com/.default 可以解决此问题，您将获得用于调用Microsoft Graph API 的访问令牌。

如果您有自己的需要客户端凭据流的自定义 Web API，您应该按照Exposing application permissions (app roles) 在您的 API 应用注册中公开该 API。然后在您的客户端应用注册中通过Add permissions to access your web API配置应用权限。

之后，您可以获得scope 格式。通常是api://{app id of the API app registration}/.default。如果自定义API应用注册的Application ID URI为https://{tenant}.onmicrosoft.com/backendtestapi/api/，那么scope应该是https://{tenant}.onmicrosoft.com/backendtestapi/api/.default。

但是有一件重要的事情你需要了解。这是因为客户端凭据流在没有用户的情况下发出应用程序令牌，在这种情况下它与 B2C 身份验证无关。换句话说，您只需“借用” B2C 租户来创建应用程序注册。 B2C不用于身份认证。

顺便说一句，应用程序权限通常需要管理员同意。不要忘记在客户端应用注册或use the adminconsent endpoint 上点击“为{您的租户} 授予管理员同意”。