Azure AD同一应用注册实现服务到服务(client_credentials)认证问题

核心结论 #

单个Azure AD应用注册完全可以实现这种服务对服务的认证场景，只要配置到位，就能获取令牌并调用受保护的API。以下是最容易踩坑的配置疏漏点，逐一排查：

• 未配置应用权限并授予管理员同意
  必须在你的应用注册中添加应用权限（注意是应用权限，不是委派权限——Client Credentials流无用户上下文，委派权限不生效），权限要选对应API的应用级权限，并且一定要点击授予管理员同意。没做这一步的话，令牌里不会包含所需权限，API直接会拒绝访问。

• API未正确暴露应用级范围/角色
  如果是自定义开发的API，要在API的应用注册里公开API，添加一个应用级的范围（比如access_as_application），并设置范围类型为Application。后台服务请求令牌时，scope参数必须填这个范围的完整URL，格式一般是api://{API应用ID}/{范围名}。

• 令牌请求参数错误
  拿令牌的请求要盯紧几个参数：

  • grant_type必须是client_credentials
  • client_id是你的应用注册ID，client_secret/client_assertion（用证书的话）要确保有效
  • scope不能瞎填：自定义API必须用上面说的完整范围URL，微软公共API才用{API ID}/.default

• API的认证验证逻辑有误
  检查API的认证配置：

  • 验证令牌的租户ID要和应用注册所在租户一致
  • 令牌的aud（受众）声明必须匹配API的应用ID或公开的API URI
  • 因为用的是应用权限，API要验证令牌中的roles声明（不是scp，scp对应委派权限）

• 客户端凭据无效
  确认你用的凭据没问题：

  • 客户端密钥没过期、在应用注册的“证书和密码”里是启用状态
  • 用证书的话，私钥正确，且证书已上传到应用注册、未过期

快速测试方法 #

用curl手动请求令牌，先验证参数是否正确：

curl -X POST https://login.microsoftonline.com/{租户ID}/oauth2/v2.0/token \
-H "Content-Type: application/x-www-form-urlencoded" \
-d "grant_type=client_credentials" \
-d "client_id={应用ID}" \
-d "client_secret={客户端密钥}" \
-d "scope=api://{API应用ID}/access_as_application"

拿到令牌后用jwt.ms解析，检查aud、roles、iss这些关键声明是否符合预期，再拿着令牌调用API测试。

内容的提问来源于stack exchange，提问作者fox112358