查询OneDrive for Business时“不支持的应用程序专用令牌”

Question

使用仅应用程序访问令牌，访问令牌（jwt）如下所示

...
"aud": "https://{tenant}-my.sharepoint.com/",
...
"roles": [
    "User.Read.All",
    "TermStore.Read.All",
    "Sites.Read.All"
  ],
...

然后使用curl

curl -H "Content-Type: application/x-www-form-urlencoded" -H "Authorization:Bearer {access_token}" 'https://{tenant}-my.sharepoint.com/_api/v2.0/drives/{upn}/root'

退换商品

"Unsupported app only token."

如果使用用户登录访问令牌，它可以正常工作。

此外，我不能使用“https://graph.microsoft.com/v1.0/drives/{upn}/root/，因为API是“https://{tenant}-my”的子集。sharepoint。com/U api/v2.0/”。

应用程序应该如何访问令牌读取OneDrive？

此外，Azure的Web应用程序中“应用程序权限”和“委托权限”的“所需权限”对于“Office 365 SharePoint Online”是不同的，因为“应用程序权限”没有“文件读取”。此权限重要吗？

Answer 1

“OneDrive Business”API需要appidacr值为2的令牌。

0=公共客户端
1=由其id和机密标识的客户端
2=由其证书标识的客户端

注释中提到的值为1，表示使用了id/secret而不是证书。要为应用程序设置证书，请按照以下说明操作，然后可以使用以下代码获取令牌：

var context = new AuthenticationContext(authEndpoint); 
X509Certificate2 cert = new X509Certificate2(clientCertificatePfxPath, clientCertificatePfxPassword, X509KeyStorageFlags.MachineKeySet);
ClientAssertionCertificate cac = new ClientAssertionCertificate(ClientId, cert);
var token = context.AcquireToken(audience, cac);

更新1
以下是一个很好的示例，介绍了如何在不使用ADAL的情况下获取令牌：
http://www.cloudidentity.com/blog/2015/02/06/requesting-an-aad-token-with-a-certificate-without-adal/

引用此来源：

岗位https://login.windows.net/contoso.onmicrosoft.com/oauth2/token
HTTP/1.1内容类型：应用程序/x-www-form-urlencoded
客户端请求id:a2ef0cd8-60e5-4620-ac66-6f2a344e075b
返回客户端请求id:true主机：登录。窗户。net
内容长度：986
预期：100继续连接：保持活动

资源=https://contoso.onmicrosoft.com/TodoListService

这里需要注意的主要事项是：1）它是到令牌endpoint的一个POST；2）它是一个client\u凭据授予，正如预期的那样；3）您需要指定魔术值urn:ietf:params:oauth:client断言类型：jwt bearer作为client\u断言类型

另一件感兴趣的事情是client_assertion本身，它是证书实际发挥作用的工件：它是一个断言，您需要创建并使用您注册为应用程序凭据的证书进行签名。ADAL为您做这件事，但是如果您想直接在协议级别工作，您必须自己做。

请点击链接了解有关如何生成用于断言的JWT的详细信息。

更新2:James找到了一个更好的资源-查看此链接以获取有关如何使用Azure AD手动进行证书验证的分步说明。