Comment obtenir un jeton On-Be-Of-User dans .NET en utilisant ADAL

Question

J'ai créé une application Azure AAD de type webapp qui a le secret client et l'URL de redirection. Maintenant, je veux obtenir un jeton d'accès au nom de l'utilisateur en utilisant l'application AAD. En regardant la documentation, j'ai obtenu le code suivant jusqu'à présent.

static void Main(string[] args) 
    { 
     var clientId = "<REDACTED>"; 
     var clientSecret = "<REDACTED>"; 
     var resourceAppIdURI = "https://api.office.com/discovery/"; 
     var authority = "https://login.microsoftonline.com/common"; 

     AuthenticationContext ac = new AuthenticationContext(authority, new FileCache()); 
     ClientCredential cc = new ClientCredential(clientId, clientSecret); 

     // Get token as application 
     var task = ac.AcquireTokenAsync(resourceAppIdURI, cc); 
     task.Wait(); 
     var appToken = task.Result.AccessToken; 

     // Get tokenn on behalf of user 
     UserCredential uc = new UserCredential("usrname@mytenant.com"); 
     task = ac.AcquireTokenAsync(resourceAppIdURI, clientId, uc); 
     var userToken = task.Result.AccessToken; 

     Console.ReadLine(); 
    } 

Mais c'est l'erreur que j'obtiens lorsque j'essaie d'obtenir un jeton utilisateur comme suit.

message « AADSTS70002: Le corps de la requête doit contenir le paramètre suivant:. 'Client_secret ou client_assertion \ r \ nTrace ID: 0e977f67-d5cb-4cf5-8fea-bac04b6d0400 \ r \ nCorrelation ID: 824a96bf -8007-4879-970c-2680644b8669 \ r \ nTimestamp: 21/07/2017 05: 02: 41Z » ​​string

Pourquoi ai-je cette erreur et comment y remédier? Dois-je d'abord me connecter avec l'utilisateur, puis utiliser UserAssertion? Il existe des tonnes de méthodes surchargées pour la méthode AcquireTokenAsync, mais je ne sais pas exactement ce que je devrais utiliser.

J'ai aussi regardé cette url github pour voir comment ils le font https://github.com/Azure-Samples/active-directory-dotnet-webapi-onbehalfof/blob/8afb3e6a648d8e7246685bf6747d009006c761b8/TodoListService/Controllers/TodoListController.cs

Ceci est le code approprié pour obtenir jeton utilisateur connecté

ClientCredential clientCred = new ClientCredential(clientId, appKey); 
    var bootstrapContext = ClaimsPrincipal.Current.Identities.First().BootstrapContext as System.IdentityModel.Tokens.BootstrapContext; 
    string userName = ClaimsPrincipal.Current.FindFirst(ClaimTypes.Upn) != null ? ClaimsPrincipal.Current.FindFirst(ClaimTypes.Upn).Value : ClaimsPrincipal.Current.FindFirst(ClaimTypes.Email).Value; 
    string userAccessToken = bootstrapContext.Token; 
    UserAssertion userAssertion = new UserAssertion(bootstrapContext.Token, "urn:ietf:params:oauth:grant-type:jwt-bearer", userName); 

    string authority = String.Format(CultureInfo.InvariantCulture, aadInstance, tenant); 
    string userId = ClaimsPrincipal.Current.FindFirst(ClaimTypes.NameIdentifier).Value; 
    AuthenticationContext authContext = new AuthenticationContext(authority, new DbTokenCache(userId)); 

Ici, ils ont déjà connecté utilisateur et en créant une UserAssertion à partir du jeton de cet utilisateur connecté. Dans mon application de console, l'utilisateur ne s'est pas encore connecté. J'ai donc besoin d'un moyen de le faire dans mon application de console. Comment puis-je montrer la page de connexion AAD à l'utilisateur en tant que pop-up, puis une fois que l'utilisateur entre dans Creds utiliser cette information pour créer un objet UserAssertion?

grâce

Answer 1

Votre scénario est une application native qui appelle une API Web au nom d'un utilisateur. L'application native pourrait obtient un jeton d'accès pour l'utilisateur en utilisant le OAuth 2.0 authorization code grant, le jeton d'accès est alors envoyé dans la demande à l'API Web, qui autorise l'utilisateur et retourne la ressource souhaitée:

S'il vous plaît en savoir plus sur la description du flux de protocole here. Voir également le code samples pour les scénarios d'application native à l'API Web. En outre, vous pouvez cliquer sur here pour obtenir un exemple de code sur l'appel de l'API Azure AD Graph à partir d'un client natif (application de console .net). Elle utilise la bibliothèque ADAL (Active Directory Authentication Library) pour l'authentification.