Azure AD不同数量的客户端和服务器声明

Question

我们需要将AzureAD身份验证流程集成到现有项目中。所以我在这里找到了可用的示例代码。它基本上包含两个web项目。MVC项目作为客户端，Web API作为服务器。

我们考虑使用JWT令牌中的“upn”声明来唯一标识登录用户。我运行了示例代码并能够在Azure AD中验证用户。当我检查从jwt的AAD获得的访问令牌时。io索赔部分不包含“upn”，但我可以使用ClaimsPrincipal在客户端检索“upn”。现在的FindFirst（ClaimTypes.Upn）。添加此访问令牌作为承载授权标头，并调用web api。在这里，我无法使用ClaimsPrincipal检索“upn”索赔。现在的FindFirst（ClaimTypes.Upn）。此声明的值为null。我需要做任何额外的配置才能进入服务器端吗。到目前为止，我只能在客户端检索upn。

Answer 1

有关的示例项目：

以应用程序的身份而不是用户的身份调用web API

在TodoListController的第95行，它获取具有以下内容的令牌：

result = await authContext.AcquireTokenAsync(todoListResourceId, clientCredential);

它以自身的身份调用API，因此它是仅应用程序调用，而不是委托调用。因此，不存在UPN。不过，您会发现一个appid声明，用于标识调用的应用程序。

检查对API进行委托调用的另一个示例：https://github.com/Azure-Samples/active-directory-dotnet-webapp-webapi-openidconnect/blob/master/TodoListWebApp/Controllers/TodoListController.cs

正如您在这里看到的，获取令牌的调用是完全不同的：

string userObjectID = ClaimsPrincipal.Current.FindFirst("http://schemas.microsoft.com/identity/claims/objectidentifier").Value;
AuthenticationContext authContext = new AuthenticationContext(Startup.Authority, new NaiveSessionCache(userObjectID));
ClientCredential credential = new ClientCredential(clientId, appKey);
result = await authContext.AcquireTokenSilentAsync(todoListResourceId, credential, new UserIdentifier(userObjectID, UserIdentifierType.UniqueId));

请注意，身份验证配置也不同：https://github.com/Azure-Samples/active-directory-dotnet-webapp-webapi-openidconnect/blob/master/TodoListWebApp/App_Start/Startup.Auth.cs.