如何在 OAuth 2 请求中使用 Microsoft Graph 和 Office 365 范围？

Question

我正在从https://login.microsoftonline.com/common/oauth2/v2.0/authorize请求OAuth2.0令牌。我正在请求以下范围：

[
 'https://graph.microsoft.com/User.Read', 
 'https://graph.microsoft.com/Calendars.Read.Shared', 
 'offline_access', 
 'profile', 
 'email', 
 'https://outlook.office.com/mail.read'
]

我正在尝试同时获得Microsoft Graph范围和Office 365范围，但它给了我：

AADSTS70011:为输入参数“scope”提供的值无效。范围https://graph.microsoft.com/User.Read https://graph.microsoft.com/Calendars.Read.Shared脱机访问配置文件电子邮件https://outlook.office.com/mail.read无效

如果我取出 outlook.office.com 范围或两个 graph.microsoft.com 范围，那么它可以工作。

有没有办法同时访问两者？

Answer 1

这是一种不同的方法，它允许您仅使用一个登录请求（但访问令牌不同）访问多个资源。

根据使用的流，应该向您返回一个刷新令牌，这可以为您获得不同资源的访问令牌。

1. 通过仅从一个资源（例如 Graph）请求范围来获取令牌 A（以及刷新令牌）。
2. 通过仅从其他资源请求范围，使用令牌刷新请求获取令牌 B （Office 365）

在您的情况下，令牌刷新原始 HTTP 请求如下所示（身份验证代码流）：

POST /common/oauth2/v2.0/token HTTP/1.1
Host: https://login.microsoftonline.com
Content-Type: application/x-www-form-urlencoded

client_id=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
&scope=https://outlook.office.com/mail.read
&refresh_token=...
&grant_type=refresh_token
&client_secret=...

上面的注意：为了易读性，在正文中添加了换行符。范围应该是url编码的。

您现在有两个令牌:< code>A适用于Graph，而< code>B适用于Office 365。

只能使用多资源刷新令牌。您可以在openid-configuration中检查支持。要显示特定于租户的配置，请将url中的< code>common替换为租户域。

microsoft_multi_refresh_token：可选。一个布尔值，指示OpenID提供程序是否支持多资源刷新令牌，这些刷新令牌可以兑换为在AD FS服务器上注册的任何资源的访问令牌。

https://learn.microsoft.com/en-us/openspecs/windows_protocols/ms-oidce/586de7dd-3385-47c7-93a2-935d9e90441c

Answer 2

v2.0身份验证模型不支持在同一个请求中请求两个资源的权限，请尝试分离请求，只要您为每个资源受众获取访问令牌，您就可以访问这两个API。