Wie bekomme ich Zugriffstoken für Web-API aus der nativen App in einem anderen Mandanten?

Question

Ich habe eine Multi-Tenant-Web-API erstellt, die gut funktioniert. Jetzt möchte ich einen nativen Client zum Testen erstellen. Die Web-API-App ist in einem Mandanten definiert (webapitenant). Die Test-App ist in einem anderen Mandanten (clienttenant) definiert, der der Web-API die Zustimmung der Administratoren erteilt hat.

Ich habe die testClientId als knownClientApplication in der Web-API-App-Manifest und oauth2AllowImplicitFlow aktiviert. Dem Testclient wurden Berechtigungen für die Web-API-App erteilt.

GetAccessToken:

var userCredential = new UserCredential("admin@clienttenant.onmicrosoft.com", "password"); 
var context = new AuthenticationContext("https://login.windows.net/common"); 

return context.AcquireToken("https://webapitenant.onmicrosoft.com/webApiResourceUri", testClientId, userCredential).AccessToken; 

Exception geworfen:'Microsoft.IdentityModel.Clients.ActiveDirectory.AdalServiceException' in Microsoft.IdentityModel.Clients.ActiveDirectory.dll

Zusätzliche Informationen:
AADSTS65001: The user or administrator has not consented to use the application with ID 'nativeclientid'. Send an interactive authorization request for this user and resource.

Exception geworfen:'Microsoft.IdentityModel.Clients.ActiveDirectory.AdalServiceException' in Microsoft.IdentityModel.Clients.ActiveDirectory.dll

Zusätzliche Informationen:
AADSTS65001: The user or administrator has not consented to use the application with ID nativeclientid. Send an interactive authorization request for this user and resource.

aktualisieren Ich habe eine Dummy-Konsolenanwendung eine Einverständniserklärung zu zwingen, die ich akzeptieren könnte. ADAL gibt nun Tokens zurück, aber meine Web-API weist sie zurück (Status 401).

var parameters = new PlatformParameters(PromptBehavior.Always); 
var context = new AuthenticationContext("https://login.windows.net/common"); 
var token = context.AcquireTokenAsync 
    ("https://webapi.onmicrosoft.com/appuri", 
    "testappid", 
    new Uri("https://webapi.azurewebsites.net"), parameters).Result.AccessToken; 

Console.WriteLine(token); //Output: oauth token 

var client = new HttpClient 
{ 
    BaseAddress = new Uri("https://webapi.azurewebsites.net/api/") 
}; 

client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", token); 

var response = client.GetAsync("tenants").Result; 
Console.WriteLine(response.Content.ReadAsStringAsync().Result); 
// Output: {"$type":"System.Web.Http.HttpError, System.Web.Http","Message":"Authorization has been denied for this request."} 

Answer 1

Bitte stellen Sie sicher, dass der Web-App ist ignorieren das Thema Validierung und das Publikum gleiche wie die Ressource (https://webapi.onmicrosoft.com/appuri", "testappid) Sie für den Zugriff erwerben Token und dieser Wert soll die App-ID URI das Sie sich auf old Azure portal wie Abbildung unten finden:

Hier ist der relative Code für die Authentifizierung o für die Einstellung f Multi-Tenant-Web-API:

app.UseWindowsAzureActiveDirectoryBearerAuthentication(
       new WindowsAzureActiveDirectoryBearerAuthenticationOptions 
       { 
        Audience = ConfigurationManager.AppSettings["ida:Audience"], 
        Tenant = ConfigurationManager.AppSettings["ida:Tenant"], 
        TokenValidationParameters= new System.IdentityModel.Tokens.TokenValidationParameters { 
         ValidateIssuer=false 
        } 
       });