如何使用ADAL JS发布的隐式授权令牌从Web API访问Graph API

Question

我有一个内置Java的Web API，它可以将数据库信息返回给SPA。在发送响应之前，我需要使用AAD Graph API检查用户的组信息。现在，Web API接受请求并读取用户的令牌（eyJ…）。

应用程序准备好代表用户向Graph API发送请求的下一步是什么？

我已经尝试使用用户的令牌发送带有授权：承载ey...标头的请求，但收到Authentication_MissingOrMalformed错误。我还尝试了对应用程序清单和委托权限的各种编辑，但没有成功。

Answer 1

API收到的访问令牌仅用于API。您需要的是代表当前用户为Azure AD Graph API获取一个新的访问令牌。

幸运的是，这正是代表流的目的。来自Azure AD的身份验证方案：

代表规范草案使用OAuth 2.0的委派用户标识

下面讨论的流程假设用户已经在另一个应用程序（例如本机应用程序）上进行了身份验证，并且他们的用户身份已经用于获取第一层web API的访问令牌。

1. 本机应用程序将访问令牌发送到第一层web API
2. 第一层web API向Azure AD的令牌endpoint发送请求，提供其客户端ID和凭据，以及用户的访问令牌。此外，发送请求时会附带一个代表参数，该参数指示web API正在请求新令牌以代表原始用户调用下游web API
3. Azure AD验证第一层web API是否具有访问第二层web API的权限，并验证请求，将JWT访问令牌和JWT刷新令牌返回给第一层web API
4. 通过HTTPS，第一层web API然后通过在请求的授权标头中附加令牌字符串来调用第二层web API。只要访问令牌和刷新令牌有效，第一层web API就可以继续调用第二层web API

请确保配置API以请求Azure AD Graph API的正确权限集。

编辑：如果您自己构建令牌请求，您的API将向Azure AD发出的代表当前用户向Graph API获取新令牌的请求将是针对以下内容的POST：

https://login.microsoftonline.com/{tenant-id}/oauth2/token

正文中包含以下参数（未编码，为了易读性，实际上这些是应用程序/x-www-form-urlencoded，当然）：

grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&
requested_token_use=on_behalf_of&
assertion={access-token}&
client_id={api-client-id}&
client_secret={api-client-secret}&
resource=https://graph.windows.net&
scope=openid

其中{tenant-id}是目录标识符（域名或Guid值），{access-Toker}是您的SPA提供给您的API的访问令牌（您正在交换对Graph API的访问令牌），{api-client-id}是您的API的客户端ID，{api-client-Secret}是API的秘密密码凭据。

（注意，为简单起见，本示例使用密码凭据（client\u secret）来验证API，但很可能使用由客户端证书签名的断言。）