Kann der Azure AD OAuth 2-Token-Endpunkt ein Kerberos-Token als Authentifizierungscode verwenden?

Question

Wenn Sie den OAuth 2.0-Flow mit Azure AD ausführen, wird der Oauth-Auth-Endpunkt umgeleitet, um einen AuthToken zu erhalten. Wenn der Benutzer sich anmeldet, ruft er den Token-Endpunkt auf, um Ihr Zugriffs-Token den Auth-Code zu übergeben Der erste Schritt wurde gegeben.

Die Apps, für die ich das tue, werden Kerberos-Token bereits, ist es möglich, das Zugriffstoken zu erhalten, ohne die Umleitung mit Azure AD zu tun? Kann der OAuth-Endpunkt beispielsweise ein Kerberos-Ticket annehmen?

Basierend auf allem, was ich gelesen habe, ist das ein Nein. Ich wollte nur überprüfen, wie es nett wäre, die Weiterleitung für eine bessere Benutzererfahrung nicht zu tun.

Answer 1

Tony,

Ich nehme an, Sie http://openid.net/specs/openid-connect-core-1_0.html#CodeFlowAuth zum AuthorizationCodeFlow sprechen. Die kurze Antwort ist NEIN. AAD gibt den "Code" aus und verfolgt Anfrageartefakte, so dass er id_tokens und access_tokens ausgeben kann, die mit dem Benutzer in Beziehung stehen.

Answer 2

Nein, es gibt keinen standardisierten Berechtigungstyp, der angibt, wie ein Kerberos-Token für ein Zugriffstoken am Token-Endpunkt ausgetauscht wird. Die Spezifikation lässt jedoch Spielraum für die Definition als zukünftige Erweiterung.

Vorerst Ihre einzige standardisierte Optionen sind:

• Resource Owner Passwort Credentials verwenden fließen, um die Umleitung zu vermeiden, aber verlieren SSO
• den Fluss Autorisierungscode verwenden zu können, Kerberos nutzen authentifizieren sich auf eine SSO-Weise, aber um eine Umleitung zu erfordern.