Azure广告B2C图形API 401未经授权

Question

我试图做一个Azure AD Graph API REST API调用来获取当前登录的用户信息。但是，对https://graph.windows.net/me?api-version=1.6的HTTP GET调用总是失败，响应401未经授权。我已经在Azure AD中注册了一个应用程序，并配置了以下API权限：

授权endpoint的调用如下所示：

HTTP GET https://{my tenant}.b2clogin.com/{my tenant}.onmicrosoft.com/oauth2/v2.0/authorize？p=b2c_1_signinsignup&client_id={my app id}&nonce=defaultnonce&redirect_uri=https://localhost:44351/login/loginresponse&scope=https://graph.windows.net/directory.accessasuser.all

对令牌endpoint的调用如下所示：

HTTP POST到URL：https：//{my tenant}.b2clogin.com/{my tenant}.onmicrosoft.com/b2c_1_signinsignup/oauth2/v2.0/token内容类型：application/x-www-form-urlencoded

身体：

string strURL = @"https://graph.windows.net/me?api-version=1.6";
                HttpWebRequest httpWebRequest = (HttpWebRequest)HttpWebRequest.Create(strURL);
                httpWebRequest.Headers.Add("Authorization", $"Bearer {jWTToken.access_token}");                
                using (HttpWebResponse httpWebResponse = (HttpWebResponse)httpWebRequest.GetResponse())
                {
                    using (StreamReader streamReader = new StreamReader(httpWebResponse.GetResponseStream()))
                    {
                        string str = streamReader.ReadToEnd();
                    }
                }

{
  "typ": "JWT",
  "alg": "RS256",
  "kid": "X5eXk4xyojNFum1kl2Ytv8dlNP4-c57dO6QGTVBwaNk"
}.{
  "iss": "https://{my tenant}.b2clogin.com/fc292353-4def-47bd-af44-b92e40798a60/v2.0/",
  "exp": 1576642155,
  "nbf": 1576638555,
  "aud": "00000002-0000-0000-c000-000000000000",
  "oid": "05c93456-2f02-4601-afb0-d4599b7e6826",
  "sub": "05c93456-2f02-4601-afb0-d4599b7e6826",
  "tfp": "B2C_1_signinsignup",
  "nonce": "defaultNonce",
  "scp": "Directory.AccessAsUser.All User.Read",
  "azp": "{my app ID}",
  "ver": "1.0",
  "iat": 1576638555
}.[Signature]

Answer 1

B2C不支持对图形API的委托访问。您必须向应用程序注册添加应用程序权限，并使用客户端凭据身份验证来获得令牌。

参见文档:https://docs.microsoft.com/en-us/azure/active-directory-b2c/active-directory-b2c-devquickstarts-graph-dotnet？tabs=applications#assign-api-access-permissions

在应用程序权限下，选择读取和写入目录数据。

从底层Azure Ad的令牌endpoint（而不是您的B2C策略endpoint）获取令牌。

当然，您不能使用/me，因为该令牌不包含用户信息。但是可以使用/users/id。

401的原因可能是令牌中的发行方。Graph API期望使用普通的AAD发行器，但事实并非如此。