Azure AD OAuth 2 令牌端点可以将 kerberos 令牌作为身份验证代码吗？答案

【问题标题】：Can the Azure AD OAuth 2 token endpoint take a kerberos token as auth code?Azure AD OAuth 2 令牌端点可以将 kerberos 令牌作为身份验证代码吗？
【发布时间】：2016-10-08 18:12:53
【问题描述】：

在使用 Azure AD 执行 OAuth 2.0 流程时，documented process 是重定向 Oauth 身份验证端点以获取身份验证令牌，在用户登录时重定向回来，然后调用令牌端点以获取您的访问令牌传递给出了第一步的 Auth 代码。

我正在为之执行此操作的应用程序将使用 kerberos 令牌，是否可以在不使用 Azure AD 进行重定向的情况下获取访问令牌？例如，OAuth 端点可以获取 kerberos 票证吗？

根据我所阅读的所有内容，这是一个不。我只是想验证一下，因为不必进行重定向以获得更好的用户体验会很好。

【问题讨论】：

如果最终目标是获取访问令牌怎么办？您想获取哪个资源（例如 Azure AD Graph API 等？）的访问令牌？
身份验证和授权。获取要在 API 请求中使用的 JWT。我只是想避免重定向以获得更好的用户体验。

标签： azure oauth kerberos azure-active-directory

【解决方案1】：

托尼，

我假设您正在与 AuthorizationCodeFlow http://openid.net/specs/openid-connect-core-1_0.html#CodeFlowAuth 交谈。最简洁的答案是不。 AAD 发布“代码”并跟踪请求工件，以便它可以发布与用户相关的 id_tokens 和 access_tokens。

【讨论】：

【解决方案2】：

不，没有标准化的授权类型来指定如何在令牌端点将 Kerberos 令牌交换为访问令牌。不过，该规范为将其定义为未来的扩展留下了空间。

目前，您唯一的标准化选择是：

使用资源所有者密码凭据流来避免重定向但丢失 SSO
使用授权代码流能够利用 Kerberos 以 SSO 方式进行身份验证，但需要重定向。

【讨论】：