调用Office 365和图形API REST的Azure AD身份验证

Question

我使用 VS 2015 创建了一个示例 MVC 应用，并使用了 Azure AD 身份验证向导。当我启动此 Web 应用程序时，它要求我向 Azure AD 注册应用（仅限第一次），然后注册用户 ID/密码。我已输入Office 365 / Azure AD帐户并成功登录。一切正常，在右上角，我可以看到你好“myname”。

现在我尝试使用ResSharp对Office 365进行REST调用。它给我403错误（访问被拒绝）。

当我试图使用图api urlhttps://graph.windows.net/testname.com/groups?api-version=1.6，我得到错误未经授权的访问。

下面是我使用图形API调用的测试代码：

 string url = "https://graph.windows.net/testname.com/groups?api-version=1.6";
            var client = new RestClient(url);
            client.ClearHandlers();
            var jsonDeserializer = new JsonDeserializer();
            client.AddHandler("application/json", jsonDeserializer);
            var request = new RestRequest(Method.GET);
            var queryResult = client.Execute(request);

我正在将相同的代码与 Office 365 调用的 O365 REST 网址一起使用。

如果我的应用程序已经根据Azure AD进行了身份验证，这是基本身份验证，为什么在这两种情况下我都被拒绝访问。另外，＜code＞请求。IsAuthenticated始终为true。

单个标识提供者 （AAD） 不是用于 Azure、Office 365 和相关资源吗？

Answer 1

应用可能未配置为调用图形的 /groups 终结点。当最终用户经过身份验证并且你已获取 Azure AD 图形 （graph.windows.net） 的令牌时，此访问令牌需要具有一组特定权限才能调用终结点。

要配置这些图形权限，可以转到Azure门户，选择Azure Active Directory，然后选择应用注册，最后选择所需权限。调用的资源是Windows Azure Active Directory，然后可以查看要调用的范围列表。

我推荐的另一个很棒的资源是Azure广告图表浏览器。这有助于理解图表可以提供的数据类型。

编辑：检查答案的注释。OP使用了OpenID Connect中间件（OWIN），需要帮助获取资源的访问令牌。为了做到这一点，您必须使用OWIN ADAL的组合。OWIN获取身份验证代码，ADAL可以将此身份验证代码交换为访问令牌。