具有AAD B2C的MSAL客户端凭据

Question

我想允许B2C安全应用程序的用户在决定注册之前浏览

为此，我需要在我的应用程序中嵌入一个客户端凭据流

    public static string tenantID = "aadtenant.onmicrosoft.com";
    public static string ClientID = "xxxx-a2e2-40f5-958b-dc39ca2bd413";
    public static string Secret = "zzzzzzzzs_JhPY1HSFEREgRy5Z2rcL";
    public static string redirectURI = "https://mysite.azurewebsites.net/api";
    public static string[] scopes = new string[] { "api://xxxxxx-a2e2-40f5-958b-dc39ca2bd413/.default" };
    public static string url = String.Format("https://login.microsoftonline.com/{0}/oauth2/v2.0/token", tenantID);

Exception AADSTS50059: No tenant-identifying information found in either the request or implied by any provided credentials.

我注意到的一件事是，当我在AAD租户应用程序中设置API访问时，只分配了Graph。当我去我的API时，我什么也没看到。所以我不确定AAD应用程序和B2C应用程序是如何相互联系的

另一个编辑：我现在已经授予AAD应用程序对B2C应用程序的权限，并创建了一个范围，但我仍然得到一个错误，这次是范围无效

Answer 1

上一次我对使用B2C的API实现客户机凭据身份验证时，我必须向API添加第二个身份验证方案。我在B2C租户的底层Azure广告中注册了一个应用程序，在那里注册了一个应用程序权限(appRole)，然后可以将其分配给客户端应用程序（这些应用程序也需要在底层AAD租户中注册）。

然后，API需要能够验证来自B2C注册的作用域或来自AAD注册的应用程序权限（角色）的两个访问令牌。发行者等在这些代币中是不同的。

坦率地说，这有点痛苦，但这实际上是文档推荐的:https://docs.microsoft.com/en-us/azure/active-directory-b2c/application-types#daemonsserver-side-applications。

完成所有这些设置后，客户机需要使用AAD注册客户机id+secret，范围设置为api-client-id/.default。