如何通过Azure AD Client Credentials实现服务器间通信的后端Web API认证保护并获取包含角色/范围声明的访问令牌

核心问题拆解 #

你遇到的核心问题是：在无用户交互的客户端凭证流中，仅在API应用清单里定义角色还不够，必须给调用API的客户端应用显式分配角色；同时你的请求参数和API端配置也需要对应调整，才能让令牌包含有效声明通过验证。

步骤1：完成应用角色的分配（关键！） #

你已经在API的应用清单里定义了myapprole，但这只是角色的"定义"，还需要把这个角色分配给你的客户端应用（也就是curl里client_id对应的应用）：

1. 登录Azure Portal，找到你的API应用（标识符为api://a4994a31-c494-4b73-9622-d3a7144abeee）
2. 进入应用角色分配模块（或者在"企业应用"列表中找到该API，进入"用户和组"页面）
3. 点击「添加用户/组」，在弹出的选择器里切换到应用标签，选中你的客户端应用，然后勾选你定义的myapprole，完成分配操作

注：角色分配后可能需要1-5分钟生效，不要立刻重试请求

步骤2：修正curl请求参数 #

你之前错误地在resource里添加了角色后缀，正确的请求不需要额外拼接角色/范围，只需指定API的标识符即可。分两种端点情况：

用v1.0端点（你当前使用的） #

curl -X POST -d "grant_type=client_credentials&client_id=api://a4994a31-c494-4b73-9622-d3a7144abeee&client_secret=[你的客户端密钥]&resource=api://a4994a31-c494-4b73-9622-d3a7144abeee" https://login.microsoftonline.com/1e2ad6d6-274f-43e8-89ef-d36d65bb83b5/oauth2/token

更推荐的v2.0端点 #

v2.0端点返回的令牌格式更规范，且支持.default范围（客户端凭证流专用）：

curl -X POST -d "grant_type=client_credentials&client_id=api://a4994a31-c494-4b73-9622-d3a7144abeee&client_secret=[你的客户端密钥]&scope=api://a4994a31-c494-4b73-9622-d3a7144abeee/.default" https://login.microsoftonline.com/1e2ad6d6-274f-43e8-89ef-d36d65bb83b5/oauth2/v2.0/token

步骤3：验证令牌内容 #

重新获取令牌后，用JWT解码工具查看，应该能看到roles数组字段，包含你分配的角色：

{
  "aud": "api://a4994a31-c494-4b73-9622-d3a7144abeee",
  "iss": "https://sts.windows.net/1e2ad6d6-274f-43e8-89ef-d36d65bb83b5/",
  ...
  "roles": ["myapprole"],
  ...
}

步骤4：调整API端配置 #

你之前设置的AllowWebApiToBeAuthorizedByACL不适用当前场景，它是用于Azure AD ACL授权的，你需要的是基于角色的验证：

1. 确保appsettings.json里的AzureAd配置正确：

"AzureAd": {
  "Instance": "https://login.microsoftonline.com/",
  "TenantId": "1e2ad6d6-274f-43e8-89ef-d36d65bb83b5",
  "ClientId": "api://a4994a31-c494-4b73-9622-d3a7144abeee"
}

2. 在API的控制器或方法上添加授权属性：
   • 全局验证令牌有效性：[Authorize]
   • 验证特定角色：[Authorize(Roles = "myapprole")]

常见误区说明 #

• 客户端凭证流中，用户定义的scope不会生效，因为没有用户参与授权，所以应用角色是正确的权限载体；v2.0端点的.default范围只是用来标识API资源，并非用户授权范围。
• 不要在resource/scope参数里拼接角色后缀，角色是通过Azure AD的分配关系自动注入到令牌中的，不是请求参数指定的。
• 如果你用v1.0端点，返回的令牌里roles声明是直接包含的；v2.0端点则会在令牌里同时包含roles和scp（对应.default范围），都能被Microsoft Identity Web识别。

内容的提问来源于stack exchange，提问作者Linda Lawton - DaImTo