承载令牌认证授权码

Question

    public void ConfigureAuthOpenIdConnect(IAppBuilder app)
    {
        app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);

        var cookieAuthenticationOptions = new CookieAuthenticationOptions()
        {
           //...
        };

        app.UseCookieAuthentication(cookieAuthenticationOptions);

        var notifications = new OAOpenIdConnectAuthenticationNotifications();
        var openIdConnectAuthenticationOptions = new OpenIdConnectAuthenticationOptions()
        {
            //...
            Notifications = notifications
        };

        app.UseOpenIdConnectAuthentication(openIdConnectAuthenticationOptions);

        app.UseWindowsAzureActiveDirectoryBearerAuthentication(
           new WindowsAzureActiveDirectoryBearerAuthenticationOptions
           {
               Tenant = ConfigHelper.ClientSettings.TenantName,
               TokenValidationParameters = new TokenValidationParameters
               {
                   ValidAudience = ConfigHelper.ClientSettings.ClientId
               }
           });
    }

当一个人试图使用azure AD承载令牌访问我们的系统时，这个获取和缓存资源令牌的工作流程是不存在的。

所以我的问题是，我如何使用承载令牌来启用它？如何才能像使用OpenIDConnect一样请求额外的资源令牌？是否可以使用ADAL从承载令牌获取授权代码？

Answer 1

正如您提到的，您正在使用OpenID Connect ASP.NET中间件和ADAL.NET使用Azure AD进行登录，然后在OnAuthorizationCodereceivedOpenID Connect Notification中调用登录用户身份下的web API。

在此场景中，您可以使用授权代码将其交换为特定资源的访问令牌。

另一方面，当客户端应用程序使用azure AD承载令牌访问您的系统时，没有授权代码。在此场景中，如果希望使用该访问令牌将其交换为另一个资源的访问令牌（如Microsoft Graph)，则可以使用OAuth2.0来代表Flow。OAuth2.0代表流服务于应用程序调用服务/Web API的用例，而该应用程序又需要调用另一个服务/Web API。