MSAL(C#)：管理员交互式获访问令牌后，其他用户能否静默获取？

问题描述 #

我正尝试在邮件应用中实现OAuth2功能，需求是：拥有特殊权限的管理员通过交互式方式获取授权后，租户/组织/网络内的其他用户可静默获取令牌，无需进行交互式操作。

我原本使用常规的MSAL令牌获取流程：

var accounts = await publicClientApplication.GetAccountsAsync();

AuthenticationResult authtoken;
try
{
  authtoken = await publicClientApplication.AcquireTokenSilent(scopes,  accounts.FirstOrDefault()).ExecuteAsync();
}
catch (MsalUiRequiredException)
{
  authtoken = await publicClientApplication.AcquireTokenInteractive(scopes).ExecuteAsync();
}

该流程先尝试静默获取令牌，失败则触发交互式授权。但我发现GetAccountsAsync()始终未返回任何账户，同时不确定面向组织的应用是否能实现管理员授权后其他租户用户无需操作的需求。

解决方案 #

1. 组织级应用的授权模式可行性 #

面向组织的应用可以实现管理员授权后其他租户用户静默获取令牌，但不能通过当前使用的公共客户端模式实现。公共客户端模式是用户级隔离的，每个用户的会话、账户信息独立存储，管理员的授权无法直接共享给其他用户。

你需要切换到服务主体模式，或采用管理员同意的委托权限+应用程序权限组合：

• 先让租户管理员为应用授予应用程序权限（而非委托权限），或通过管理员同意流程完成委托权限的组织级授权。
• 使用客户端凭据流获取应用级令牌，该令牌代表应用本身访问资源，无需用户交互，租户内所有用户可通过应用间接使用令牌访问邮件资源。

2. GetAccountsAsync()返回空的原因 #

GetAccountsAsync()返回空是因为公共客户端模式下，账户信息存储在当前用户的本地会话缓存（如本地文件、系统密钥链）中，其他用户无法访问该缓存；此外，若从未完成过一次交互式授权，缓存本身就没有账户数据。

如果坚持使用用户级静默授权，需满足：

• 每个用户至少完成一次交互式授权（这不符合你的需求）。
• 应用配置了共享缓存机制（多用户场景下存在安全风险，不推荐）。

推荐实现步骤 #

1. 在Entra ID中注册应用时，选择Web应用/API或守护程序应用类型（而非公共客户端）。
2. 为应用添加邮件相关的应用程序权限（如Mail.Read、Mail.Send），并让租户管理员完成权限同意。
3. 使用客户端凭据流获取令牌，示例代码：

var confidentialClient = ConfidentialClientApplicationBuilder
    .Create(clientId)
    .WithClientSecret(clientSecret)
    .WithTenantId(tenantId)
    .Build();

var authResult = await confidentialClient.AcquireTokenForClient(scopes)
    .ExecuteAsync();

这种方式下，应用本身拥有访问租户邮件资源的权限，无需用户交互，租户内所有用户可通过应用完成操作。

内容的提问来源于stack exchange，提问作者LeeTi