azure-active-directory - 具有不同受众的 Azure AD 范围

Question

我已经改编了 Azure 移动应用示例 ( https://github.com/Azure/azure-mobile-apps ) 并让它与 DataSyncClient 一起使用(用于离线同步)。不过，我想重用通过 IdentityClient 进行身份验证期间获得的 token 来调用 Microsoft Graph API。这是失败的，我想这是由于我使用的范围造成的。

除了示例文档之外，我需要使用真正的 TenantID 而不是“common”，我猜这是因为我公司租户的设置。 其次，可能与上述相关，我必须将“access_as_user”权限的范围设置为“api:///access_as_user”。现在我需要额外的范围“User.Read”，但如果我同时请求它们(以便能够重用收到的 token )，则在使用 token 进行图形 API 调用时，我会收到“无效受众”。

有什么想法吗？ BR, 丹尼尔

Answer 1

您需要获得 2 个访问 token 。 一个访问 token 仅适用于一个 API。 通常，您无需第二个登录提示即可获取第二个 token (例如，使用刷新 token ，MSAL 会为您处理此问题)。