Отсутствующие ObjectId в JWT возвращается по запросу Azure AD ADAL

Question

Мы осуществляем проверку подлинности Azure AD для нашего родного приложения, используя ADAL

У нас есть родное приложение проверку подлинности на Azure AD с помощью Адал и передать возвращенную JWT на нашем веб-приложение для проверки и входа в соответствующую учетную запись.

У нас возникла проблема в том, что JWT, возвращаемый с использованием ADAL, не содержит идентификатор объекта пользователя.

Мы предполагаем, что это связано с тем, как мы настроили наше собственное приложение Azure AD и/или параметры, которые передаем ADAL-запрос аутентификации.

Есть ли у кого-нибудь предложения по поводу того, что мы можем настроить неправильно.

Answer 1

Когда вы получаете токен, подобный этому от Azure AD, он называется токеном «сквозной». Технически это означает, что пользователь, которого представляет токен, не имел присутствия в арендаторе, в котором произошла аутентификация. Контрольные признаки транзитного токена - это отсутствие требования oid, о существовании претензии idp, о существовании претензии altsecid и, самое главное, претензии idp, значение которой не соответствует заявке iss.

Сторонние приложения никогда не должны получать сквозные токены от Azure AD. В этом случае токен предназначен для приложения с ID 00000002-0000-0000-c000-000000000000, которое не является вашим приложением. Это диаграмма Microsoft или диаграмма AAD (я забыл, что). Вы должны никогда не когда-либо быть валидацией токенов, чья заявка aud не ваша заявка. В любой момент владелец этого приложения может изменить формат токена и полностью разорвать ваше приложение. Вместо этого вы должны использовать AppID URI вашего приложения в качестве параметра resource, который вы передаете ADAL, и отправить полученный токен вашему веб-сервису. У нас есть много примеров на aka.ms/aaddev, которые показывают вам, как создавать собственные веб-API.

С учетом сказанного, я не думаю, что это ваша проблема здесь. Похоже, вы подписываете пользователя против арендатора 39f8b586-1a6c-413e-9fd3-70b57a1d9fa0, арендатора «Mars Feature 3 Native». Вероятно, это значение, которое вы передаете параметру ADAL authority. Поэтому, когда вы подписываете test.user69@smartsheet365.onmicrosoft.com, они передаются через арендатора Марса в ваше приложение (потому что токен не для вашего приложения). Вместо этого вы должны использовать арендатора 3836f4a1-67af-43f2-a675-f9f54899abe0, арендатора smartsheet365.onmicrosoft.com. Затем вы должны вернуться к обычным токенам пользователей от Azure AD.