Могу ли я получить доступ к API Graph с помощью AzureAD IDToken

Question

У меня есть JavaScript веб-сайт с доступом к Azure защищенному AD WebAPI с IDToken. Есть ли способ вызвать Graph API (для получения групп) из WebAPI, который уже аутентифицирован с помощью IDToken.

Я использую msal в моем JS, чтобы получить доступ к WebAPI. Я передаю область действия в WebAPI, я пытался добавить другую область в Graph, но затем у меня возникла ошибка. Я попытался вызвать Graph с ключом авторизации в заголовке и Bearer в качестве значения из моего WebAPI, но это не сработало.

Answer 1

Вы неверно используете идентификационный токен. Идентификационный токен не должен использоваться для авторизации в бэкэнде.

Ваш клиент должен получить токен доступа для вашего сервера. Ваш сервер может затем заменить этот токен доступа на токен доступа для Graph API.

Или ваш интерфейс может вызвать Graph API. Вы не можете указать обе области при получении токена, потому что токен действителен только для одного API. Однако вы можете сделать два отдельных вызова, чтобы получить токены.