Не удается получить токен доступа для пользовательского приложения AD

Question

При попытке получить токен доступа для пользовательского приложения AD, используя az account get-access-token --resource '<APP ID Uri>', я получаю следующую ошибку:

AADSTS65001: The user or administrator has not consented to use the application with ID '04b07795-8ddb-461a-bbee-02f9e1bf7b46' named 'Microsoft Azure CLI'. Send an interactive authorization request for this user and resource.

04b07795-8ddb-461a-bbee-02f9e1bf7b46 не является идентификатором моего приложенияи на мое приложение было дано согласие администратора.Я попытался поместить этот идентификатор в интерактивный запрос на вход без изменения поведения.

get-access-token работает нормально, когда ресурс является определенной конечной точкой MS, такой как https://database.windows.net или https://vault.azure.net/

Моя цель состоит в том, чтобы службы приложений Azure с удостоверением управляемой службы аутентифицировались друг с другом с помощью кратковременных токенов AD.Каждая служба имеет настроенную аудиторию, соответствующую приложению AD.

Answer 1

При запуске az account get-access-token --resource '<APP ID Uri>' из локального интерфейса командной строки вы пытаетесь получить токен из '<APP ID Uri>' с помощью интерфейса командной строки Azure, идентификатор клиента которого точно равен 04b07795-8ddb-461a-bbee-02f9e1bf7b46.

Чтобы справиться с этим, вы можете перейти по адресу: Azure Active Directory → Регистрация приложений → {ваше приложение} → Открыть API → Добавить клиентское приложение с помощью :

ID : 04b07795-8ddb-461a-bbee-02f9e1bf7b46

Авторизованные области действия : проверка '<APP ID Uri>'

Чтобы убедиться, что у вас есть правильный ID, который вы можете запустить az account get-access-token вставьте токен в jwt.io и найдите значение "appid".

Answer 2

Я могу воспроизвести вашу проблему с --resource '<APP ID Uri>', если я войду в систему cli с учетной записью пользователя.

Если я войду с помощью службыпринципал, он работает нормально.

Вы можете попытаться войти в Azure Cli с принципалом службы, см. эту ссылку .