Microsoft Graph-API - Zugriffstoken kann nicht aktualisiert werden

Question

Ich habe eine Multitenant-App unter registriert, da die Eingabeaufforderung "Administratorzustimmung" in den Azure AD-Apps nicht verfügbar war. Die Zustimmung unserer Administratoren ist erforderlich, damit unsere App Informationen über Nutzer und deren Kalender abrufen kann.

Ich kann von einem völlig anderen Mandanten als dem, von dem diese App registriert ist, Admin-Zustimmung geben und das bereitgestellte Zugriffstoken verwenden, um alle notwendigen Informationen abzurufen, die jedoch offensichtlich nach einer Stunde ablaufen und wir Offlinezugriff benötigen.

Ich habe versucht, die mandentId anstelle von "common" im https://login.windows.net/common/oauth2/token Endpunkt, aber die gleiche Nachricht wie unten erhalten.

folgenden werden die Daten in json Format zu dem Token-Endpunkt übermittelt worden ist (im Knoten umgewandelt codierten Format zu bilden, vor der Unterbreitung):

{ grant_type: 'refresh_token', client_id: 'e5c0d59d-b2c8-4916-99ac-3c06d942b3e3', client_secret: '(redacted)', refresh_token: '(redacted)', scope: 'openid offline_access calendars.read user.read.all' }

Beim Versuch, das Zugriffstoken aufzufrischen I eine Empfangs Fehler:

{ "error":"invalid_grant", "error_description":"AADSTS65001: The user or administrator has not consented to use the application with ID 'e5c0d59d-b2c8-4916-99ac-3c06d942b3e3'. Send an interactive authorization request for this user and resource.\r\nTrace ID: 2bffaa08-8c56-4872-8f9c-985417402e00\r\nCorrelation ID: c7653601-bf96-46c3-b1ff-4857fb25b7dc\r\nTimestamp: 2017-03-22 02:17:13Z", "error_codes":[65001], "timestamp":"2017-03-22 02:17:13Z", "trace_id":"2bffaa08-8c56-4872-8f9c-985417402e00", "correlation_id":"c7653601-bf96-46c3-b1ff-4857fb25b7dc" }

Dieser Fehler tritt auf, auch wenn die Standard Zustimmung verwendet wird. Ich habe auch versucht, die Node-Adal-Bibliothek anstelle von Raw HTTP-Anfragen, die genau das gleiche Ergebnis erzeugt.

Ich stelle fest, dass "offline_access" keine Erlaubnis ist, die ich innerhalb des MS Apps-Portals einstellen kann, aber ich denke, die Tatsache, dass ich ein Refresh-Token zurückbekomme bedeutet, dass ich das Access Token aktualisieren kann? Folgendes ist der Knoten-adal Code, den ich verwendet, um zu sehen, ob ich etwas falsch zu machen war

Für die Aufzeichnung:

var self = this; 

var authenticationContext = new AuthenticationContext('https://login.windows.net/common'); 
authenticationContext.acquireTokenWithRefreshToken(
    self.refreshToken, 
    self.clientId, 
    self.clientSecret, 
    'https://graph.microsoft.com/', 
    function(a) { 
     console.log(a); 
    } 
); 

Jede Hilfe in immer diese Auffrischverfahrens Arbeits wird geschätzt!

Answer 1

Stellen Sie sicher, dass der Mandant, den Sie für das Auffrischen des Tokens verwenden, mit dem Mandant übereinstimmt, den Sie für das access_token anfordern.

Die Aktualisierungs-Token Anfrage funktioniert gut für mich, es sei denn in dem Szenario von unten:

1. registrieren die App von protal mit Konto Microsoft
2. user1 ist in tenant1
3. add user1 als externe Nutzer tenant2
4. Anfrage der access_token/refresh_token von tenant1 (OK)
5. versuchen, das Token tenant1 in der Anforderung (OK)
auffrischen
6. versuchen, das Token mit tenant2 in der Anfrage zu aktualisieren (gleiche Fehlermeldung)