如何获取 AD 访问令牌并将其传递给 Web API 控制器？

Question

如何从 login.microsoftonline.com 获取AD访问令牌并将访问令牌传递给Web api控制器？因为我需要“访问令牌”才能通过 post 请求传递到另一个合作伙伴公司网站 URL。

下面的代码按照预期进行AAD认证，但我也需要“访问令牌”，

public void ConfigureServices(IServiceCollection services)
    {
        services.Configure<CookiePolicyOptions>(options =>
        {
            // This lambda determines whether user consent for non-essential cookies is needed for a given request.
            options.CheckConsentNeeded = context => true;
            options.MinimumSameSitePolicy = SameSiteMode.None;
        });

        services.AddAuthentication(AzureADDefaults.AuthenticationScheme)
            .AddAzureAD(options => Configuration.Bind("AzureAd", options));

        services.Configure<OpenIdConnectOptions>(AzureADDefaults.OpenIdScheme, options =>
        {
            options.Authority = options.Authority + "/v2.0/";


            options.TokenValidationParameters.ValidateIssuer = false;
        });

        services.AddMvc(options =>
        {
            var policy = new AuthorizationPolicyBuilder()
                .RequireAuthenticatedUser()
                .Build();
            options.Filters.Add(new AuthorizeFilter(policy));
        })
        .SetCompatibilityVersion(CompatibilityVersion.Version_2_1);
    }

Answer 1

嗨，请下载并按照示例中提供的说明进行操作。它帮助你首先设置 Web APi，并提供一个客户端应用程序，该应用程序首先登录用户，然后获取 Web API 的访问令牌

如何保护使用ASP.NET核心构建的Web API

一旦您可以让样本工作，您就可以用合作伙伴的Web Api替换样本的Web Ap。

Answer 2

上面的代码片段附在原始帖子中，没有公开访问令牌，但它在内部设法获取访问令牌

您可以在身份验证后获取令牌:

services.Configure<OpenIdConnectOptions>(AzureADDefaults.OpenIdScheme, options =>
{
    options.Authority = options.Authority + "/v2.0/";         // Microsoft identity platform
    options.SaveTokens = true;
    options.TokenValidationParameters.ValidateIssuer = false; // accept several tenants (here simplified)
});

并在控制器中获取tokes：

var idToken = await HttpContext.GetTokenAsync("id_token"); 

但是对于您的代码片段，它不会返回访问令牌，因为您正在实现登录过程，而不是令牌请求。您应该使用ADAL/MSAL获取访问令牌以访问受保护的API。请在此处查看代码示例。

我从何处获得访问令牌

您可以从这里和这里理解令牌签名的验证。