Microsoft Graph API auth错误：“访问令牌验证失败。访问群体无效”

Question

好的，我已经花了两天的时间来解决这个错误，并找到了一个解决方案。在我的搜索中，我没有找到一个单一的答案来解决我所面临的问题（相反，我找到了多个最终指向解决方案的答案）。因此，我尝试向您解释“访问令牌验证失败。无效访问群体”错误的解决方案：

TLDR：

• 检查“https://graph.Microsoft.com”在https://jwt.ms/上与MSAL进行身份验证时收到的访问令牌中是否作为AUD（观众）列出（Microsoft位于jwt.ms站点后面，源码：https://docs.Microsoft.com/en-us/azure/active-directory/developer/access-tokens）。在我的例子中，列出的是后端API范围，而不是“https://graph.microsoft.com”。这就是为什么Microsoft graph api检查访问令牌时“访问群体”无效。
• 解决方案是请求两个不同的访问令牌，一个用于后端范围，另一个用于https://graph.microsoft.com/user。读取范围:

/**
 * Retrieve token for backend
 */
export const getToken = async (account): Promise<AuthenticationResult> => {
  return await msalInstance.acquireTokenSilent({
    scopes: [process.env.REACT_APP_API_SCOPE as string],
    redirectUri: current_url,
    account,
  });
};

/**
 * Retrieve token for Microsoft Graph API:
 */
export const getTokenForGraphApi = async (
  account
): Promise<AuthenticationResult> => {
  return await msalInstance.acquireTokenSilent({
    scopes: ["https://graph.microsoft.com/User.Read"],
    redirectUri: current_url,
    account,
  });
};

我已经让我的组织的管理员设置了Azure门户，以便我们的应用程序注册具有API权限：

• 后端API权限
• Microsoft图形
  • “用户。阅读”
  • “user.readbasic.all”。

  在React中，当我进行身份验证时，我使用了作用域：

  scopes: [
      process.env.REACT_APP_API_SCOPE as string,
      "User.Read",
  ],
  

  然后，我尝试使用“https://graph.microsoft.com”在user.read作用域之前进行操作，所以它应该是：

  scopes: [
      process.env.REACT_APP_API_SCOPE as string,
      "https://graph.microsoft.com/User.Read"
  ],
  
  

  但未能通过错误消息进行身份验证：

  “AADSTS28000:为输入参数scope提供的值无效，因为它包含多个资源。scope api：//{API-application-id}/a-scope https://graph.microsoft.com/user。读取openid配置文件无效。”

  /**
   * Retrieve token for backend
   */
  export const getToken = async (account): Promise<AuthenticationResult> => {
    return await msalInstance.acquireTokenSilent({
      scopes: [process.env.REACT_APP_API_SCOPE as string],
      redirectUri: current_url,
      account,
    });
  };
  
  /**
   * Retrieve token for Microsoft Graph API:
   */
  export const getTokenForGraphApi = async (
    account
  ): Promise<AuthenticationResult> => {
    return await msalInstance.acquireTokenSilent({
      scopes: ["https://graph.microsoft.com/User.Read"],
      redirectUri: current_url,
      account,
    });
  };
  
  

Answer 1

错误消息：“access token validation Failure.Invalid Audiator”告诉您，在Microsoft Graph API中使用的访问令牌上的“AUD”（Audiator）设置不正确。

通过粘贴访问令牌，可以使用https://jwt.ms/检查令牌。（Microsoft支持站点jwt.ms站点：https://docs.Microsoft.com/en-us/azure/active-directory/developer/access-tokens）

因此，解决方案需要两个独立的访问令牌：一个范围为“https://graph.Microsoft.com/user.read”，您可以与Microsoft graph api一起使用，另一个用于后端的访问令牌：

/**
 * Retrieve token for backend
 */
export const getToken = async (account): Promise<AuthenticationResult> => {
  return await msalInstance.acquireTokenSilent({
    scopes: [process.env.REACT_APP_API_SCOPE as string],
    redirectUri: current_url,
    account,
  });
};

/**
 * Retrieve token for Microsoft Graph API:
 */
export const getTokenForGraphApi = async (
  account
): Promise<AuthenticationResult> => {
  return await msalInstance.acquireTokenSilent({
    scopes: ["https://graph.microsoft.com/User.Read"],
    redirectUri: current_url,
    account,
  });
};