C#中获取AzureAd已登录当前用户的JWT Token相关问题问询

权限配置问题 #

• 未配置组读取相关权限：需要在Azure AD应用注册的「API权限」页，添加GroupMember.Read.All或Directory.Read.All的委派权限，涉及目录级别的权限必须完成管理员同意才会生效，普通用户自主同意不会返回组信息。
• 申请的Scope不符合目标API要求：如果是调用第三方业务API，需要申请对应业务API的委派权限，仅使用openid、profile这类基础身份权限只能拿到包含基础用户信息的ID Token，无法获取用于API调用的有效Access Token。

调用参数配置问题 #

• AcquireTokenAsync传入的资源/Scope错误：
  • 若使用Azure AD v1.0端点，需传入目标API的App ID URI作为资源参数
  • 若使用Azure AD v2.0端点，需传入api://<目标API客户端ID>/.default或目标API暴露的自定义Scope，参数错误会导致返回的Token受众不符，不包含预期声明
• 混淆了ID Token和Access Token：检查返回结果的AccessToken属性，而非IdToken属性，后者仅用于身份校验，不包含组声明也不能作为API调用的凭证。

令牌声明配置问题 #

• 默认Azure AD不会将组信息写入Token声明，需要在应用注册的「令牌配置」页，手动添加组声明，可选择返回安全组、目录角色，也可配置返回组ID或组名称。
• 若用户所属组超过200个，Azure AD不会返回全量组列表，只会返回hasgroups标记声明，需要单独调用微软Graph接口拉取用户全量组信息。

认证流不匹配问题 #

• 调用AcquireTokenAsync时使用了客户端凭证流而非用户委派流，此时拿到的是应用身份的Token，不包含任何用户相关的组信息。
• 静默获取Token时使用的用户缓存上下文与当前登录用户不一致，导致返回的Token属于其他账号，无当前用户的组信息。

内容的提问来源于stack exchange，提问作者Parisa