Die Verwendung des client_credentials-Flusses mit ADFS 4.0 gibt 401 zurück

Question

Ich habe das Szenario "Server-Anwendung, die auf ein Web-API zugreift".

Die Website verwendet OIDC und authentifiziert kein Problem.

Allerdings habe ich einen Anwendungsfall für den Zugriff auf einige der Web-API ohne Benutzerkontext und dafür verwende ich client_credentials.

Die Server-App hat eine Client-ID und den geheimen Schlüssel.

So übernimmt die Web-API-URL ist:

https://my-pc/WebService/api/my-api/

Der Web-API, um die RP-Kennung hat:

https://my-pc/WebService/api/my-api/

Zutrittskontrollpolitik ist:

Permit jeden

Ich habe eine Anspruchregel:

c: [] => issue (claim = c);

Client-Berechtigungen festgelegt ist:

"Alle Kunden" mit Rahmen von OpenID und user_impersonation.

Der Code ist:

AuthenticationContext ac = new AuthenticationContext("https://my-adfs/adfs/", false); 
// ClientCredential contains client_id and secret key 
AuthenticationResult result = await ac.AcquireTokenAsync("https://my-pc/WebService/api/my-api/", clientCredential); 

HttpRequestMessage request = new HttpRequestMessage(HttpMethod.Post, "https://my-pc/WebService/api/my-api/"); 
request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", result.AccessToken); 

HttpContent content = new FormUrlEncodedContent(new[] { new KeyValuePair<string, string>("foo", "blah"), new KeyValuePair<string, string>("foo1", "blah1") }); 
request.Content = content; 
HttpResponseMessage response = await client.SendAsync(request); 

ADFS kehrt der Zugang kein Problem Token, aber wenn ich die Web-API-Aufruf, halte ich ein 401 bekommen - nicht authentifiziert.

Irgendwelche Ideen?

Answer 1

Da Sie den Benutzerprinzipal nicht im Zugriffstoken erhalten, haben Sie keine Benutzersitzung an einen Principal angehängt. Wenn die Web-API im Cookie nach dem Prinzipal sucht (oder nach dem Autorisierungsheader, wenn Sie ein Zugriffstoken senden), wird der Prinzipal nicht gefunden, und Sie sind weiterhin ein anonymer Benutzer.

Answer 2

Endlich herausgefunden, und wrote it up.

Die beiden Teile des Codes:

using Microsoft.IdentityModel.Clients.ActiveDirectory; 

ClientCredential clientCredential = new ClientCredential(clientId, secretKey); 

AuthenticationContext ac = new AuthenticationContext("https://my-adfs/adfs/", false); 
AuthenticationResult result = await ac.AcquireTokenAsync("https://my-pc/WebService", 

clientCredential); 

HttpRequestMessage request = new HttpRequestMessage(HttpMethod.Post, 

"https://my-pc/WebService/api/my-api/"); 
request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", result.AccessToken); 

HttpContent content = new FormUrlEncodedContent(new[] { new KeyValuePair<string, 

string>("foo", "blah"), new KeyValuePair<string, string>("foo1", "blah1") }); 
request.Content = content; 
HttpResponseMessage response = await client.SendAsync(request); 

if (response.IsSuccessStatusCode) 
    // etc 

Und in Startup.Auth.cs

app.UseActiveDirectoryFederationServicesBearerAuthentication(
    new ActiveDirectoryFederationServicesBearerAuthenticationOptions 
    { 
     TokenValidationParameters = new TokenValidationParameters() 
     { 
      SaveSigninToken = true, 
      ValidAudience = "https://my-pc/WebService" 
     }, 

     MetadataEndpoint = "https://my-adfs/FederationMetadata/2007-06/FederationMetadata.xml" 
}); 

mir dauerte eine Weile!