Active Directory не поддерживает поток кода авторизации с PKCE?

Question

Я попытался использовать рекомендованный в настоящее время поток кода авторизации с PKCE для получения токена доступа из Active Directory. Клиент будет publi c Angular SPA, который является причиной выбранного потока.

Сбор информации о конфигурации openid AD, а также код авторизации для пользователя работал хорошо. Но я не могу запросить токен доступа со следующей конечной точки:

https://login.microsoftonline.com/{tenantId}/oauth2/token.

Я попытался восстановить запрос в Почтальоне:

POST /7e8c2868-7490-4dd7-82b7-f5ec29222d30/oauth2/token HTTP/1.1
Host: login.microsoftonline.com
Accept: application/json, text/plain, */*
Content-Type: application/x-www-form-urlencoded
Cache-Control: no-cache

grant_type=authorization_code
code=...
code_verifier=...
client_id=...
redirect_uri=...

... и получить следующее сообщение:

{
  "error": "invalid_client",
  "error_description": "AADSTS7000218: The request body must contain the following parameter: 'client_assertion' or 'client_secret'.\r\nTrace ID: ed0413ad-89f1-4a2b-8d68-e23498701800\r\nCorrelation ID: deb53b0d-5398-4f72-a9a5-6c0863547b99\r\nTimestamp: 2020-03-06 09:30:36Z",
  "error_codes": [
    7000218
  ],
  "timestamp": "2020-03-06 09:30:36Z",
  "trace_id": "ed0413ad-89f1-4a2b-8d68-e23498701800",
  "correlation_id": "deb53b0d-5398-4f72-a9a5-6c0863547b99",
  "error_uri": "https://login.microsoftonline.com/error?code=7000218"
}

Это кажется странным, поскольку официальная спецификация потока аутентификации с PKCE не требует client_secret или client_assertion. Это требуется только для потока аутентификации по умолчанию.

Что-то не так с реализацией AD или я неправильно сконфигурировал ее?

Манифест веб-клиента выглядит следующим образом:

{
  "id": "...",
  "acceptMappedClaims": null,
  "accessTokenAcceptedVersion": null, 
  "addIns": [],
  "allowPublicClient": true,
  "appId": "...",
  "appRoles": [],
  "oauth2AllowUrlPathMatching": false,
  "createdDateTime": "...",
  "groupMembershipClaims": null,
  "identifierUris": [],
  "informationalUrls": {
    "termsOfService": null,
    "support": null,
    "privacy": null,
    "marketing": null
  },
  "keyCredentials": [],
  "knownClientApplications": [],
  "logoUrl": null,
  "logoutUrl": null,
  "name": "...",
  "oauth2AllowIdTokenImplicitFlow": false,
  "oauth2AllowImplicitFlow": false,
  "oauth2Permissions": [],
  "oauth2RequirePostResponse": false,
  "optionalClaims": null,
  "orgRestrictions": [],
  "parentalControlSettings": {
    "countriesBlockedForMinors": [],
    "legalAgeGroupRule": "Allow"
  },
  "passwordCredentials": [],
  "preAuthorizedApplications": [],
  "publisherDomain": "...",
  "replyUrlsWithType": [
    {
        "url": "http://localhost:4200",
        "type": "Web"
    }
  ],
  "requiredResourceAccess": [
    {
        "resourceAppId": "00000003-0000-0000-c000-000000000000",
        "resourceAccess": [
            {
                "id": "...",
                "type": "Scope"
            }
        ]
    }
  ],
  "samlMetadataUrl": null,
  "signInUrl": null,
  "signInAudience": "AzureADMyOrg",
  "tags": [],
  "tokenEncryptionKeyId": null
}

И мое приложение зарегистрировано как ADL c приложение в AD.

Запрос аутентификации, который был отправлен до этого, выглядел так:

GET /.../oauth2/authorize
  response_type=code
  &client_id=...
  &state=...
  &redirect_uri=http%3A%2F%2Flocalhost%3A4200
  &scope=openid%20user_impersonation%20offline_access
  &code_challenge=...
  &code_challenge_method=...
  &nonce=...

Host: login.microsoftonline.com

Answer 1

Я только что нашел ответ в пакете @ azure / msal-browser . В настоящее время Azure AD, кажется, работает над поддержкой этого потока аутентификации. Чтобы активировать его, вы должны установить новый тип для URL-адресов перенаправления, которые они только что добавили.

Чтобы использовать поток кода авторизации с PKCE с Azure Active Directory, вам необходимо:

1. Установите добавление веб-платформы в ваше рекламное приложение azure и добавьте свои URL-адреса перенаправления.
2. Измените тип этих URL-адресов перенаправления с «Web» на «Spa». Это должно быть сделано в Манифесте. При его изменении URL-адреса исчезнут со страницы аутентификации. Но это нормально, поскольку оно все еще присутствует в манифесте.
3. Рассматривайте веб-приложение как клиент publi c (Аутентификация> Дополнительные параметры> Тип клиента по умолчанию - «Да»).

Теперь конечной точке токена больше не требуется client_secret или client_assertion.