使用Azure AD，如何发送带有临时密码的更改密码请求？

Question

AADSTS50055: Force Change Password.

下面是我为已经可以登录的用户更改密码的代码：

public SendPasswordChangeRequest(string userId, string newPass, string oldPass) {
    try {
        HttpClient http = new HttpClient();
        string action = string.Format("/users/{0}/changePassword", user.DistinguishedName);
        string url = string.Format("https://graph.windows.net/{0}{1}?api-version=1.6", tenantId, action);
        object bodyObject = new { currentPassword = oldPass, newPassword = newPass }; 
        string body = JsonConvert.SerializeObject(bodyObject);

        HttpRequestMessage request = new HttpRequestMessage(HttpMethod.Post, url);
        request.Content = new StringContent(body, Encoding.UTF8, "application/json");

        AuthenticationContext authContext = new AuthenticationContext(string.Format("https://login.windows.net/{0}", tenantName));
        UserPasswordCredential credential = new UserPasswordCredential(userId, oldPass); //userId and oldPass are parameters passed in

        AuthenticationResult authResult = authContext.AcquireTokenAsync("https://graph.windows.net/", clientId, credential).Result;
        request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", authResult.AccessToken);

        HttpResponseMessage httpResponse = http.SendAsync(request).Result;
    }
    catch (Exception ex) {
        //authResult throws the error into here
        //Error returned from Azure AD:
        //AADSTS50055: Force Change Password.
    }
}

Answer 1

简短的回答是：你不能。

这是一个很好的例子，说明了为什么在可以使用任何交互身份验证流的任何情况下都不鼓励使用用户名/密码流。从OAuth2.0规范（也就是此模式所调用的内容）中可以看出：

资源所有者密码凭据（即用户名和密码）可以直接用作获得访问令牌的授权授予。仅当资源所有者和客户端之间存在高度信任时（例如，客户端是设备操作系统或高度特权应用程序的一部分），以及当其他授权授予类型不可用时（例如授权代码），才应使用凭据。