如何使用MSAL代表使用AAD v1的用户获取访问令牌？

Question

我有一个Web应用程序（Angular 7），它使用MSAL Angular对Azure AD用户进行身份验证，并获取访问我的Web API（.NET 4.6）的访问令牌。这两个应用都已在Azure门户中注册，并具有以下权限，如下所述：

• Web应用程序：user\u模拟for Web API（委派）
• Web API：<代码>用户。阅读邮政发送MS图表（委派）

现在，我想使用ADAL for从Web API调用Microsoft Graph。NET来代表用户获取一些html" target="_blank">数据。

按照此说明，我应该配置consenScopes和protected ectedResourceMap，但由于我使用AAD v1，因此我不能在增量同意的情况下使用范围。

我应该如何配置我的Web应用程序以获取Web API和MS Graph的访问令牌？

我发现可以使用MSAL为AAD v1.0获取令牌。js（我能够与我的Web API进行通信），但我不知道如何为代表flow配置它，以便将Web API与MS Graph进行通信。

更新

以下是从Web API发出访问令牌请求的代码：

string accessToken = null;
var userAssertion = new UserAssertion(
    <userAccessToken>, 
    "urn:ietf:params:oauth:grant-type:jwt-bearer", 
    userName);
var authority = "https://login.microsoftonline.com/" + <tenant> + "/";
var clientCredencial = new ClientCredential(<clientId>, <clientSecret>);
var authContext = new AuthenticationContext(authority, null);

try
{
    var authResult = await authContext.AcquireTokenAsync(
        "https://graph.microsoft.com", 
        clientCredencial, 
        userAssertion);
    accessToken = authResult.AccessToken;
}
catch (AdalServiceException ex) { throw; }

Web App在Web API清单中添加为已知的ClientApplication：

"knownClientApplications": [
    "<WebAppAppId>"
],

以下是在Web App（MsalModule）中设置的范围：

consentScopes:
[
    'https://webapi.example.com/user_impersonation'
],

在这种情况下，Web App需要在同意屏幕上具有以下权限：

• 访问WebAPIName

如果我尝试获取MS Graph的访问令牌，则会出现错误：

{“AADSTS65001：用户或管理员未同意使用ID为“WebApiClientId”且名为“WebApiAppName”的应用程序。请为此用户和资源发送交互式授权请求。}

Answer 1

如错误消息所示，您缺少的是Web API代表登录用户访问Microsoft Graph的同意。

假设您已将Web API的应用程序注册配置为要求对Microsoft Graph具有适当的委派权限，则有三个选项可提供所需的同意。

>

通过构建适当的URL提供管理员同意。使用门户授予管理员许可的另一种方法是构建许可URL。在本例中，您将为Web API构建同意URL。（有关屏幕截图和更多详细信息，请参阅此答案的选项2。）

在运行时，在同意Web App期间，利用已知客户端应用程序。如果您将Web App的AppId添加到Web API的应用程序注册清单中的已知客户端应用程序列表中，当要求用户同意Web App时，还会提示他们同意Web API还需要的任何权限。如果您使用v2endpoint登录Web App（听起来像您是），则此方法仅在客户端请求默认范围（即预先注册的权限，例如https://my.api.example.com/.default）时才有效。