使用Microsoft Graph api的增量OAuth同意

Question

我们在Azure AD中有一个应用程序，它使用了Microsoft Graph API。该应用程序正在成功使用4个基本权限:电子邮件，个人资料用户。读取用户。ReadBasic.All

这些权限允许普通用户（非管理员）OAuth 在我们的应用程序中进行身份验证。

我们现在正在为管理员用户构建一个功能，允许他们查看自己的组。组范围需要管理员同意，具体如下：http://graph.microsoft.io/en-us/docs/authorizathtml" target="_blank">ion/permission_scopes

关键是如果我添加Group.Read。Azure AD中委托权限下的所有权限，这会导致普通用户能够登录，并出现可怕的错误“AADSTS90093:由于缺少权限，调用主体无法同意”。

我尝试手动制作明确请求范围的 OAuth 授权 URL，但这也不起作用。这是我使用的示例网址：

https://login.microsoftonline.com/common/oauth2/authorize?response_type=code&redirect_uri=https%3A%2F%2Fl.xxxxxx.com%3A50000%2Fauth%2Fmicrosoft_graph%2Fcallback&client_id=xxxxxx-xxx-xxx-xxx-xxxx&scope=https%3A%2F%2Fgraph.microsoft.com%2Femail%20https%3A%2F%2Fgraph.microsoft.com%2Fprofile%20https%3A%2F%2Fgraph.microsoft.com%2FUser.Read%20https%3A%2F%2Fgraph.microsoft.com%2FUser.ReadBasic.All%20https%3A%2F%2Fgraph.microsoft.com%2FGroup.Read.All

我如何才能要求所有用户的基本权限，但让管理员稍后在应用程序中请求其他权限？

有些资源我已经查看过了，但没有用:

> < Li > < p > http://www . Mike pack dev . com/blog _ posts/2-Dynamically-Requesting-脸书-Permissions-with-OmniAuth

https://azure.microsoft.com/en-us/documentation/samples/active-directory-dotnet-webapp-openidconnect-v2/

使用Omniauth和Rails 3在脸书登录的web和触摸界面之间切换

https://github.com/zquestz/omniauth-google-oauth2/issues/143

https://azure.microsoft.com/en-us/documentation/articles/active-directory-protocols-oauth-code/

https://github.com/Azure/azure-content/blob/master/articles/active-directory/active-directory-devhowto-multi-tenant-overview.md

Answer 1

Azure AD V2.0终结点已经支持增量和动态同意。您可以从此处注册应用以使用Azure AD V2.0身份验证终结点。

我们可以为普通用户和管理员提供两个登录按钮。以下是普通用户使用V2.0endpoint登录的步骤，供您参考：

1 .登录并获取OAuth代码:

GET: https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id={clientId}&scope=openid%20https%3A%2F%2Fgraph.microsoft.com%2FMail.ReadWrite%20https%3A%2F%2Fgraph.microsoft.com%2FUser.ReadBasic.All%20https%3A%2F%2Fgraph.microsoft.com%2FUser.Read&response_type=code+id_token&&redirect_uri={redirectUri}&nonce=678910

2.请求访问令牌

POST: https://login.microsoftonline.com/common/oauth2/v2.0/token

client_id={clientId}&scope=openid%20https%3A%2F%2Fgraph.microsoft.com%2FMail.ReadWrite%20https%3A%2F%2Fgraph.microsoft.com%2FUser.ReadBasic.All%20https%3A%2F%2Fgraph.microsoft.com%2FUser.Read
&code={codeFromPreviousRequest}&redirect_uri={RedirectUri}&grant_type=authorization_code&client_secret={client_secret}

对于管理员登录，我们只需添加上述请求的额外范围。以下是一些关于这个主题的有用文章:

v2.0 终结点有何不同？

v2.0 协议 - OpenID Connect v2.0 协议 - OAuth 2.0 授权代码流