使用客户端凭据生成SPN令牌时，如何获取Role与Scope信息？

一、为什么客户端凭据流令牌中没有Role？ #

客户端凭据流属于服务到服务认证，它不会返回用户分配的角色（User-assigned roles），只会返回应用角色（Application Roles）——也就是你在AAD中给目标API注册定义的、并分配给你的SPN的角色。

二、获取包含Role的令牌步骤 #

1. 在目标API的AAD注册中定义应用角色
   登录AAD门户，找到你的目标API应用注册，进入“应用角色”页面，添加需要的角色（比如Api.ReadAll），注意要将“允许分配到”设置为“应用程序”。

2. 将应用角色分配给你的SPN
   在AAD门户找到你的SPN（客户端应用注册），进入“应用角色分配”页面，添加刚才定义的目标API的应用角色。

3. 请求令牌时指定正确的资源/范围
   调用令牌端点时，scope参数要使用目标API的客户端ID加上/.default，格式如下：

   POST /{tenant-id}/oauth2/v2.0/token
   Content-Type: application/x-www-form-urlencoded
   
   client_id=你的SPN客户端ID
   &client_secret=你的SPN客户端密钥
   &grant_type=client_credentials
   &scope={目标API的客户端ID}/.default
   

   这样返回的令牌中就会包含roles声明，值就是你分配的应用角色。

三、关于Scope信息 #

客户端凭据流中，scope参数的作用是指定要访问的目标资源，返回的令牌中不会包含具体的scope列表，而是通过aud（受众）声明来标识目标API，同时roles声明代表该SPN拥有的权限。如果你需要在令牌中体现类似用户流的scope，只能通过将scope映射为应用角色的方式来实现，因为客户端凭据流本身不支持用户级的scope授权。

内容的提问来源于stack exchange，提问作者Kotana Sai