Как получить доступ к API Azure B2C, защищенному openId, с помощью приложения для нескольких клиентов

Question

API моего nodeJs защищен с помощью Azure B2C. У меня есть два веб-приложения, которые получают доступ к моему API.

у двух веб-приложений есть собственный идентификатор приложения в Azure B2C. Кроме того, они могут генерировать access_token с B2C.

Но когда я проверяю эти access_token в своем API, я должен указать идентификатор приложения веб-приложения, которое генерирует access_token как аудитория .

Но аудитория не поддерживает массив. Я могу поставить только один идентификатор приложения.

Как мне это решить?

Если я защищаю API с помощью B2C, я могу отправлять запросы только из одного веб-приложения?

Answer 1

Запрос аудитории (aud) на токен доступа идентифицирует предполагаемого получателя (то есть приложение API) токена доступа.

На высоком уровне вы должны:

1. Зарегистрируйте приложение API , чтобы любое клиентское приложение могло получить токен доступа для использования с приложением API.

2. Предоставить доступ одному или нескольким клиентским приложениям к приложению API.

3. Настройте идентификатор приложения для приложения API в качестве ожидаемой аудитории для промежуточного программного обеспечения API.

В статье Azure AD B2C: запрос маркеров доступа описано, как клиентское приложение может получить токен доступа для использования с приложением API.