通过 API 授予 OAuth2 资源所有者密码

Question

我目前正在构建一个需要 OAuth2 的 API，但找不到可以使用的库来仅通过 RESTful API 处理本机移动应用程序中的单点登录。我发现大多数只有一个网络弹出窗口，该项目已被否决。目前正在运行的 B2C 无法使用 ROPG。有没有办法使用 C#.NET 和 Azure 使用另一个库轻松设置它？

更新：

根据下面的 Fei Xue 回答尝试使用 B2C，我们已经从 Microsoft Graph 获取访问令牌。在 POST 的正文中，我们执行了以下操作：

resource=https%3A%2F%2FGraph.windows.net&client_id=[B2C 设置 - 应用程序 - AppId]&grant_type=password&username=rob%40[tenant].onmicrosoft.com&password=[password]&client_secret=[B2C 设置 - 应用程序 - 应用程序密钥- client_secret]

我们对命名空间的错误是由于我们尝试的用户名造成的。这是一个使用电子邮件作为用户名的 B2C 租户，这就是命名空间错误的原因。我们克服该错误的唯一方法是创建一个电子邮件地址以租户结尾的 B2C 用户，如下所示：

rob@[租户].onmicrosoft.com

我们现在正在获取访问令牌，但该令牌未通过我们的 azure 应用服务 api 应用进行身份验证，这是最初的目标。

我们试图完成的是发送对 B2C 登录有效的用户名和密码，并获取对 api 应用程序有效的 IdToken 或访问令牌。api 应用程序通过使用 B2C 设置应用程序中的客户端 ID 和机密设置为 AAD 配置的应用服务身份验证设置连接到 B2C。

更新：

尝试通过 graph.windows.net 令牌在我们的 Azure Web api 中进行身份验证，我们在应用服务 - 身份验证 - Active Directory 身份验证配置中添加了https://Graph.windows.net允许的令牌受众。

但是，将 Bearer 标头中的图形访问令牌传递给 API 仍然会导致

“此请求的授权已被拒绝”。

发现如果我们像下面的示例一样将 Issuer Url 设为空白，它现在会接受 Graph 令牌！

但是，这会在尝试击中时导致问题

https://[our_web_app].azurewebsites.net/.auth/login/aad

现在转到常见的 Microsoft 登录。以前它针对我们的 B2C 注册政策，因为发行人网址设置为：

https://login.microsoftonline.com/[tenantname].onmicrosoft.com/v2.0/.well-known/openid-configuration?p=[B2C_SignUpIn_Policy]

事实上，如果我们还从我们的应用程序中提取策略（在删除颁发者 URL 之前工作）到登录策略，我们可以登录，但返回的访问令牌现在总是在 Web API 中返回为未授权调用。

发行人网址是否应该留空？

此外，由于将 Issuer Url 设为空白，因此当我们使用 Header Authorization Bearer 中的 Graph 访问令牌发送请求时，服务器需要更长的时间来响应 API 调用。它从花费大约 1-2 秒（使用从 MSAL 或上面的 Web 登录获得的有效 B2C 访问令牌）到花费大约 10-15 秒来响应它是经过身份验证的请求。这种速度对我们来说是个障碍。以这种方式验证图形调用通常需要这么长时间吗？

Answer 1

该功能现在可在预览版中使用，并且运行良好：

https://docs.microsoft.com/en-us/azure/active-directory-b2c/configure-ropc

重要提示：文档中提到的 POST url 是错误的。

https://login.microsoftonline.com/{{Aad_Tenant}}/b2c_1_ropc_auth/oauth2/v2.0/

必须是：

https://login.microsoftonline.com/{{Aad_Tenant}}/oauth2/v2.0/token?p=b2c_1_ropc_auth

调用应用程序必须启用本地客户端，否则您将收到此错误：

AADB2C90224：尚未为应用程序启用资源所有者流。