Azure Active Directory图形API-已登录用户的访问令牌

Question

Azure Active Directory图形Api允许您对登录的用户执行操作。

https://msdn.microsoft.com/en-us/library/azure/ad/graph/api/signed-in-user-operations

var authContext = new AuthenticationContext(authorityString);
var result = await authContext.AcquireTokenAsync
             (
                "https://graph.windows.net",
                 clientCredential  // Application ID, application secret
             );
string accessToken = result.Token;

var authContext = new AuthenticationContext(authorityString);
var result = await authContext.AcquireTokenByAuthorizationCodeAsync
             (
                  authorizationCode,
                  redirectUri, // eg http://localhost:56950/
                  clientCredential // Application ID, application secret
             );
string accessToken = result.AccessToken;

   {
     "odata.error": {
                       "code": "Request_ResourceNotFound",
                      "message": {
                                   "lang": "en",
                                   "value": "Resource not found for the segment 'me'."
                                  }
                    }
  }

这很有意义，因为我从未指定用户。如果使用AcquireTokenByAuthorizActionCodeAsync获得的访问令牌，则会收到错误消息“访问令牌丢失或格式错误”。显然，这不是一个图形API访问令牌。

我如何为Graph API获得一个访问令牌，它适用于已登录的用户？

Answer 1

您在那里所做的是客户端凭据授予流。它被应用程序用来访问API，而不是代表用户，而是代表应用程序本身。因此，如果您的应用程序有权在没有用户上下文的情况下从API中读取数据，那么您将使用这一权限。

但是，要在用户上下文中进行调用，您需要做一些不同的事情。

如果这是一个web应用程序，您可能会使用授权代码授予流，在该流中用户的浏览器被重定向到Azure AD。在对您的应用程序给予同意后，它们会被转发回您的应用程序，并带有授权代码。然后，您可以使用代码、客户端id和机密将此代码交换为访问令牌。下面是这样做的示例应用程序:https://github.com/azure-samples/active-directory-dotnet-webapp-webapi-openidconnect/blob/master/todolistwebapp/app_start/startup.auth.cs。

如果这是一个原生app，你将不得不弹出一个浏览器来做身份验证。这是由ADAL自动化的，所以你不需要做很多事情。下面是一个UWP应用程序示例：https://github.com/azure-samples/active-directory-dotnet-windows-store。请特别关注以下内容:https://github.com/azure-samples/active-directory-dotnet-windows-store/blob/master/todolistclient/mainpage.xaml.cs#l108。这里还有一个示例WPF应用程序：https://github.com/azure-samples/active-directory-dotnet-native-desktop。WPF应用程序所做的也可以应用于控制台应用程序、winforms应用程序等。

您可以在这里找到所有的示例：https://docs.microsoft.com/en-us/azure/active-directory/develope/active-directory-code-samples。

如果您有更多的问题，可以在评论中询问：）

使用授权代码的第二个调用的问题是它没有指定资源URI。这样调用可以解决问题：

var result = await authContext.AcquireTokenByAuthorizationCodeAsync
         (
              authorizationCode,
              redirectUri, // eg http://localhost:56950/
              clientCredential, // Application ID, application secret
              "https://graph.windows.net/"
         );