无法访问Azure上的OpenId UserInfoendpoint(AADSTS90010: JWT令牌不能与UserInfoendpoint一起使用)

Question

我尝试使用以下GET访问Office365 Azure租户上的用户的OpenId UserInfoendpoint:

GET https://login.windows.net/common/openid/userinfo HTTP/1.1
Authorization: Bearer eyJ0eXAiOiJ(...remainder deleted for brevity...)
Host: login.windows.net

响应失败并出现“400错误请求”，以及更具体的错误“AADSTS50063：凭据解析失败。AADSTS90010：JWT令牌不能与UserInfoendpoint一起使用”

HTTP/1.1 400 Bad Request
Cache-Control: no-cache, no-store
Pragma: no-cache
Content-Type: text/html
Expires: -1
Server: Microsoft-IIS/8.5
x-ms-request-id: ef5c8a50-69b5-40f1-ac5f-9c0fc5180aa2
x-ms-gateway-service-instanceid: ESTSFE_IN_6
X-Content-Type-Options: nosniff
Strict-Transport-Security: max-age=31536000; includeSubDomains
P3P: CP="DSP CUR OTPi IND OTRi ONL FIN"
WWW-Authenticate: Bearer correlation_id="e5c613a0-0a21-40e1-9ef6-    eacf77580608", error="invalid_request", error_codes="[50063, 90010]",     error_description="AADSTS50063: Credential parsing failed. AADSTS90010: JWT tokens cannot be used with the UserInfo endpoint.%0d%0aTrace ID: ef5c8a50-69b5-40f1-ac5f-9c0fc5180aa2%0d%0aCorrelation ID: e5c613a0-0a21-40e1-9ef6-eacf77580608%0d%0aTimestamp: 2015-02-20 14:13:42Z", timestamp="2015-02-20 14:13:42Z", trace_id="ef5c8a50-69b5-40f1-ac5f-9c0fc5180aa2"
Set-Cookie: x-ms-gateway-slice=productionb; path=/; secure; HttpOnly
Set-Cookie: stsservicecookie=ests; path=/; secure; HttpOnly
X-Powered-By: ASP.NET
Date: Fri, 20 Feb 2015 14:13:40 GMT
Content-Length: 0

使用的持有者令牌是未过期的访问令牌，适用于其他操作，例如检索 Exchange 电子邮件。

此外，当我在“https://www.googleapis.com/plus/v1/people/me/openIdConnect”（作为gmail访问场景的一部分）对openid userinfoendpoint使用相同的GET时，它工作正常

我在这里做错什么了吗？谢谢你的帮助！

一些额外信息：

-已经尝试使用id_token而不是access_token，但这没有什么区别。

-使用的Oauth作用域是“配置文件电子邮件”

-请求的资源是“https://outlook.office365.com/”

-客户端应用程序是本机应用程序，并已为“Windows Azure AD”和“Office 365 Exchange Online”启用所有委派权限

Answer 1

Azure AD用户信息终结点此时不支持使用常规JWT访问令牌。相反，您可以通过在对令牌endpoint的请求中不指定任何资源来获取特定于用户信息的访问令牌。您可以将用户信息endpoint视为自身的资源，这需要特殊的令牌格式。

例如，在授权代码的情况下：

< li >获取对< code > https://log in . windows . net/common/oauth 2/authorize的请求？...而没有< code>resource参数，并获取一个authorization_code < li >使用authorization_code向< code > https://log in . windows . net/common/oauth 2/token 发送请求，也不使用< code>resource参数。接收用户信息endpoint的访问令牌。 < li >获取对< code > https://log in . windows . net/common/OpenID/userinfo 的请求，将头中的访问令牌作为< code >授权:无记名AAAB(...令牌的剩余部分...)