使用Microsoft Graph API和Azure AD 1.0身份验证

Question

我试图了解当使用不同的Microsoft Graph RESTendpoint和针对Azure1.0 oauthendpoint（隐式流）获得的访问令牌时，预期会失败什么（如果有的话）。例如，我在Azure AD tenant中创建了一个新的应用程序注册，添加了Microsoft Graph服务，并选择了每一个可用的权限--总共66个。我发现可以使用从https://login.windows.net/common/oauth2/authorizeendpoint获得的访问令牌对https://graph.windows.net/RESTendpoint执行基本目录查询。但是，其他东西--如“我”或OneNote RESTendpoint失败，出现401未经授权的错误。作为附带说明--我可以让所有这些场景与Azure 2.0 oauthendpoint一起工作，并为我的权限需求传递范围。

多谢了。

Answer 1

访问令牌可用于一个endpoint，您可以检查访问令牌中的AUD（受众）声明。这就是为什么我们建议使用microsoft graph api，因为使用microsoft graph为组织和消费者构建应用程序，这些应用程序通过一个endpoint：https://graph.microsoft.com连接到丰富的资源、关系和智能。

您说对https://Graph.windows.net/RESTendpoint执行基本目录查询，因此可以使用访问令牌调用Azure AD Graph APi（https://Graph.windows.net/）。如果使用该令牌进行microsoft graph api调用(https://graph.microsoft.com)，则不能这样做，因为access令牌对于microsoft graph apiendpoint不可用。