Azure AD中如何让应用2模拟应用1用户？遇访问失败问题

检查应用1的核心配置 #

• 确认应用1的API权限中已启用user_impersonation范围，且该权限已完成管理员同意（租户级场景需此操作）。
• 进入应用1的公开API设置，确保user_impersonation范围已正确暴露，且允许的客户端应用列表中包含应用2的客户端ID。

验证Access Token的有效性 #

• 用jwt.ms解析获取到的access token，重点检查aud（受众）字段：必须匹配应用1的客户端ID或应用ID URI。如果aud指向Microsoft Graph或其他服务，说明请求token时的资源参数错误。
• 调整Passport配置，确保请求token时指定正确的目标应用资源标识符，示例代码：

  passport.use(new AzureAdOAuth2Strategy({
    clientID: '应用2的客户端ID',
    clientSecret: '应用2的客户端密钥',
    callbackURL: '/auth/azure/callback',
    resource: '应用1的应用ID URI' // 关键：指定应用1的资源标识
  }, function(accessToken, refreshToken, profile, done) {
    // 业务逻辑处理
  }));
  

确认应用2的权限授予状态 #

• 登录Azure门户，进入应用2的API权限页面，检查user_impersonation权限是否已完成管理员同意（租户级场景）；若为用户级权限，需确保登录用户已授权该权限。

检查应用1的Token验证逻辑 #

• 确认应用1在验证token时，正确校验iss（发行者）、aud（受众）字段，同时检查scp字段是否包含user_impersonation范围，确保允许来自同一租户的应用2的token访问。

排查OAuth请求参数 #

• 授权请求的scope参数需同时包含应用1的user_impersonation范围和基础身份范围，示例：scope=openid profile 应用1的应用ID URI/user_impersonation。

内容的提问来源于stack exchange，提问作者Madfish