我可以使用 Azure AD ID 令牌访问 Graph API

Question

我有 JavaScript 网站，它使用 IDToken 访问受 Azure AD 保护的 WebAPI。 有没有办法从已经通过 IDToken 验证的 WebAPI 调用 Graph API（获取组）。

我在我的 JS 中使用 msal 来访问 WebAPI。我将范围传递给 WebAPI，我尝试向 Graph 添加另一个范围，但随后出现错误。 我尝试在标头中使用 Authorization 键调用 Graph，并将 Bearer 作为我的 WebAPI 中的值，但这不起作用。

Answer 1

您使用了错误的 ID 令牌。 ID 令牌不应用于后端的授权。

您的前端需要为您的后端获取访问令牌。然后，您的后端可以将该访问令牌交换为 Graph API 的访问令牌。

或者您的前端可以调用 Graph API。 获取令牌时不能同时指定两个范围，因为令牌仅对一个 API 有效。 但是，您可以进行两次单独的调用来获取令牌。