在ASP.NET Core Web API中使用Azure Active Directory令牌和UseJwtBearerAuthenticiation

Question

我有一个用Ionic Framework3编写的本机客户端应用程序。我有一个用ASP.NET Core1.1编写的Web API。我想使用Azure Active Directory来管理对Web API的访问。

这在AAD中被配置为Web App/API。我有一个应用程序ID和一个由AAD给出的对象ID。此外，我将主页URL和应用程序ID URI设置为与Web API的根(https://crm.mycompany.com)匹配。

我的Ionic客户端应用程序通过以下方式成功验证了AAD：

authenticate(userID, authCompletedCallback) : any {
  let parent = this;
  //this.context = new AuthenticationContext(this.config.authority);
  let context = this.msAdal.createAuthenticationContext("https://login.microsoftonline.com/myTenantId");
  console.log(context);
  context.acquireTokenAsync(parent.config.resourceUri, parent.config.clientId, parent.config.redirectUri, userID, "")
          .then(authCompletedCallback)
          .catch((e: any) => console.log('Authentication failed', e));
}

登录过程在应用程序中进行得很好，回调会收到一个令牌，我可以使用jwt.io将其有效负载转换为大致如下：

{
 "aud": "https://crm.mycompany.com/",
 "iss": "https://sts.windows.net/someID/",
 "iat": 1506539211,
 "nbf": 1506539211,
 "exp": 1506543111,
 "acr": "1",
 "aio": "someOtherID",
 "amr": [
   "pwd"
 ],
 "appid": "appID",
 "appidacr": "0",
 "e_exp": 262800,
 "family_name": "Walter",
 "given_name": "Philip",
 "ipaddr": "someAddress",
 "name": "Philip Walter",
 "oid": "someOtherID",
 "onprem_sid": "someOtherID",
 "puid": "stuff",
 "scp": "user_impersonation",
 "sub": "e_X7WlAoVS2vzXm1pr3kcDOrET7czcC0f8-YRU_2DJ8",
 "tenant_region_scope": "NA",
 "tid": "ourTenantID",
 "unique_name": "[e-mail]",
 "upn": "[e-mail]",
 "uti": "RLvLlibQHESwmujVBBdlAA",
 "ver": "1.0"
}

    let headers = new Headers();
headers.append('Authorization', 'Bearer ' + this.authToken.accessToken);
let options = new RequestOptions({ headers : headers });
this.data.http.get(url, options).map(res => res.json()).subscribe((data) => {
     console.log(data);
  });

            app.UseJwtBearerAuthentication(new JwtBearerOptions
        {
            Authority = Configuration["Authentication: AzureAd:AADInstance"] + Configuration["Authentication: AzureAd:TenantId"],
            Audience = Configuration["Authentication: AzureAd:Audience"]
        });

Answer 1

您的受众为什么说“AUD”：“https://graph.windows.net”？
应该说“AUD”：“https://yourwebapi.azurewebsites.net”或类似的内容。

上面包含的令牌只适用于Graph API，任何其他Azure AD受保护的资源都会拒绝它，包括您的Web API，因为它希望受众与自己匹配。

parent.config.resourceURI可能是您从以下位置获取所需访问群体的来源：

context.acquireTokenAsync(
    parent.config.resourceUri,
    ...

“aud”（受众）声明标识JWT要针对的收件人。每个要处理JWT的主体都必须用受众声明中的值来标识自己。如果处理索赔的主体在该索赔存在时没有用“AUD”索赔中的值标识自己，则JWT必须被拒绝。在一般情况下，“AUD”值是一个区分大小写的字符串数组，每个字符串都包含一个StringOrURI值。在JWT有一个受众的特殊情况下，“AUD”值可能是包含StringOrURI值的单个区分大小写的字符串。对受众价值观的解释通常是特定于应用的。本声明的使用是可选的。

有时叫做资源，有时叫做观众，有时叫做AUD...就是它是什么：）