无头认证Azure AD b2c

Posted 2021-04-03

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了无头认证Azure AD b2c相关的知识，希望对你有一定的参考价值。

我正在寻找一种通过用户名/密码以无头方式为Azure AD b2c验证用户的方法。 Azure AD b2c很棒，但我们认为登录的重定向可能会导致客户之间的混淆（有时甚至被某些浏览器阻止）。此外，我们希望完全控制客户的UX体验。

我研究了ADAL和Graph API，但还没有找到任何东西。

吉娜

答案

目前无法在没有交互式用户的情况下运行Azure B2C。虽然我相信它会在某个时刻到达，但目前，您无法创建基于B2C的后端应用程序。

根据Azure Active Directory B2C preview: Limitations & Restrictions

Daemons / Server Side Applications

包含长时间运行的进程或在没有用户的情况下运行的应用程序也需要一种方法来访问安全资源，例如Web API。这些应用程序可以使用OAuth 2.0客户端凭据流使用应用程序的标识（而不是使用者的委派身份）进行身份验证和获取令牌。此流程尚未在Azure AD B2C预览中提供 - 也就是说，应用程序只能在发生交互式消费者登录流后获取令牌。

另一答案

如上所述here，您可以将Azure AD应用程序用于服务帐户的Client Credential Flow。它不是最佳的，但它的工作原理。

Define an Azure AD App用于Web API
Define an Azure AD App每个服务帐户
配置Web API以接受来自B2C租户和Azure AD的令牌假设您已经为B2C配置了Web API ... Azure AD应用程序的众所周知的配置URL是https://login.microsoftonline.com/[your-b2c-tenant].onmicrosoft.com/.well-known/openid-configuration 进一步阅读：ASP.NET核心文档：Use multiple authentication schemes
针对Web API请求针对服务帐户AD应用程序的访问令牌

注意：请务必在B2C租户下创建Azure AD应用。

用于从C＃获取访问令牌的代码片段

using (var httpClient = new HttpClient())
{
    httpClient.BaseAddress = new Uri("https://login.microsoftonline.com");

    var content = new FormUrlEncodedContent(new[]
    {
          new KeyValuePair<string, string>("grant_type", "client_credentials")
        , new KeyValuePair<string, string>("client_id", "[service account app id e.g. 10d635e5-7615-472f-8200-a81d5c87c0ca")
        , new KeyValuePair<string, string>("client_secret", "[client secret defined in the service account e.g. 5L2ZJOBK8GI1wRSgGFooHcBkAOUOj65lQd9DgJxQOrw=]")
        , new KeyValuePair<string, string>("scope", "[App ID URI of the web api azure ad app]/.default e.g. https://my-b2c-tenant.onmicrosoft.com/my-azure-ad-ap/.default")
    });

    var requestResult = await httpClient.PostAsync("/[your b2c tenant].onmicrosoft.com/oauth2/v2.0/token", content);
    var contentResult = await requestResult.Content.ReadAsStringAsync();

    var json = JObject.Parse(contentResult);
    var accessToken = (string)json["access_token"];
}

App ID URI

您可能希望定义一些自定义声明来保护Web API。见'Application Permissions' here。

修改Web API Azure AD App上的应用程序清单 { "appRoles": [{ "allowedMemberTypes": [ "Application" ], "displayName": "Some display nane", "id": "[create a new guid]", "isEnabled": true, "description": "Allow the application to _____ as itself.", "value": "some-claim" } ] }
将服务帐户Azure AD App权限授予定义的自定义应用程序权限

授予服务帐户的权限将在roles声明中返回：