启用SSO的Teams应用：能否用Access Token交换外部OAuth令牌？

1. Teams的Access Token能否交换外部服务商的OAuth Token？ #

取决于目标外部服务商的认证机制：

• 如果服务商支持OAuth 2.0令牌交换，并且信任Azure AD（Teams SSO的身份提供者）作为可信的断言颁发方，那么可以用Teams获取的用户Access Token作为凭据，向该服务商申请交换他们的OAuth Token。
• 如果服务商不支持这种令牌交换模式，或者不认可Azure AD的身份凭证，那就没法直接用Teams的令牌去换。

2. 调用外部服务商API是否必须二次认证？ #

不一定，分两种情况：

• 若服务商支持上述令牌交换，且你的Teams应用在SSO流程中已经获取到用户对目标服务所需权限的授权，那么不需要二次认证，直接用交换来的令牌调用API即可。
• 若服务商不支持令牌交换，或者所需权限未在Teams SSO的授权范围内，那就得引导用户完成该服务商自己的OAuth认证流程，也就是所谓的二次认证。

内容的提问来源于stack exchange，提问作者CrackerBarrelKid55