教程：以用户身份从安全的应用访问 Microsoft Graph

使用 Azure CLI 调用应用服务 Web 应用 REST API 以获取并更新身份验证配置设置，使 Web 应用能够调用 Microsoft Graph。 打开命令窗口并登录到 Azure CLI：

az login

获取现有的“config/authsettingsv2”设置，并将其保存到本地 authsettings.json 文件中。

az rest --method GET --url '/subscriptions/{SUBSCRIPTION_ID}/resourceGroups/{RESOURCE_GROUP}/providers/Microsoft.Web/sites/{WEBAPP_NAME}/config/authsettingsv2/list?api-version=2020-06-01' > authsettings.json

使用你偏好的文本编辑器打开 authsettings.json 文件。 找到 identityProviders ->azureActiveDirectory 的 login 节，添加以下 loginParameters 设置："loginParameters":[ "response_type=code id_token","scope=openid offline_access profile https://microsoftgraph.chinacloudapi.cn/User.Read" ]。

"identityProviders": {
    "azureActiveDirectory": {
      "enabled": true,
      "login": {
        "loginParameters":[
          "response_type=code id_token",
          "scope=openid offline_access profile https://microsoftgraph.chinacloudapi.cn/User.Read"
        ]
      }
    }
  }
},

保存对文件 authsettings.json 所做的更改，并将本地设置上传到你的 Web 应用：

az rest --method PUT --url '/subscriptions/{SUBSCRIPTION_ID}/resourceGroups/{RESOURCE_GROUP}/providers/Microsoft.Web/sites/{WEBAPP_NAME}/config/authsettingsv2?api-version=2020-06-01' --body @./authsettings.json

使用 Microsoft.Identity.Web 库，Web 应用将获取一个访问令牌，用于向 Microsoft Graph 进行身份验证。 在 1.2.0 版和更高版本中，Microsoft.Identity.Web 库与应用服务身份验证/授权模块集成，且可与之一起运行。 Microsoft.Identity.Web 检测到该 Web 应用托管在应用服务中，并从应用服务身份验证/授权模块获取访问令牌。 然后，使用 Microsoft Graph API 将访问令牌传递给经过身份验证的请求。

若要查看作为示例应用程序一部分的代码，请参阅 GitHub 上的示例。

安装客户端库包

使用 .NET 命令行接口 (CLI) 或 Visual Studio 中的包管理器控制台，在项目中安装 Microsoft.Identity.Web 和 Microsoft.Identity.Web.GraphServiceClient NuGet 包。

.NET CLI

打开一个命令行，并切换到包含项目文件的目录。

运行安装命令。

dotnet add package Microsoft.Identity.Web.GraphServiceClient

dotnet add package Microsoft.Identity.Web

程序包管理器控制台

在 Visual Studio 中打开项目/解决方案，并使用“工具”“NuGet 包管理器”“包管理器控制台”命令打开控制台。

运行安装命令。

Install-Package Microsoft.Identity.Web.GraphServiceClient

Install-Package Microsoft.Identity.Web

Startup.cs

在 Startup.cs 文件中，AddMicrosoftIdentityWebApp 方法会将 Microsoft.Identity.Web 添加到 Web 应用。 AddMicrosoftGraph 方法会添加 Microsoft Graph 支持。

using Microsoft.AspNetCore.Builder;
using Microsoft.AspNetCore.Hosting;
using Microsoft.Extensions.Configuration;
using Microsoft.Extensions.DependencyInjection;
using Microsoft.Extensions.Hosting;
using Microsoft.Identity.Web;
using Microsoft.AspNetCore.Authentication.OpenIdConnect;

// Some code omitted for brevity.
public class Startup
{
    // This method gets called by the runtime. Use this method to add services to the container.
    public void ConfigureServices(IServiceCollection services)
    {
      services.AddOptions();
      string[] initialScopes = Configuration.GetValue<string>("DownstreamApi:Scopes")?.Split(' ');

      services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
              .AddMicrosoftIdentityWebApp(Configuration.GetSection("AzureAd"))
              .EnableTokenAcquisitionToCallDownstreamApi(initialScopes)
                      .AddMicrosoftGraph(Configuration.GetSection("DownstreamApi"))
                      .AddInMemoryTokenCaches(); 

      services.AddAuthorization(options =>
      {
          // By default, all incoming requests will be authorized according to the default policy
          options.FallbackPolicy = options.DefaultPolicy;
      });
      services.AddRazorPages()
          .AddMvcOptions(options => {})                
          .AddMicrosoftIdentityUI();

      services.AddControllersWithViews()
              .AddMicrosoftIdentityUI();
    }
}

appsettings.json

Microsoft Entra ID 指定了 Microsoft.Identity.Web 库的配置。 在 Microsoft Entra 管理中心的门户菜单中选择“应用程序”，然后选择“应用注册”。 选择启用应用服务身份验证/授权模块时创建的应用注册。 （该应用注册应具有与 Web 应用相同的名称。）可在应用注册概述页面中找到租户 ID 和客户 ID。 可以在租户的 Microsoft Entra 概述页面中找到域名。

Graph 会指定 Microsoft Graph 终结点和应用所需的初始范围。

{
  "AzureAd": {
    "Instance": "https://login.partner.microsoftonline.cn/",
    "Domain": "[Enter the domain of your tenant, e.g. contoso.partner.onmschina.cn]",
    "TenantId": "[Enter 'common', or 'organizations' or the Tenant Id (Obtained from the Entra admin center. Select 'Endpoints' from the 'App registrations' blade and use the GUID in any of the URLs), e.g. aaaabbbb-0000-cccc-1111-dddd2222eeee]",
    "ClientId": "[Enter the Client Id (Application ID obtained from the Microsoft Entra admin center), e.g. 00001111-aaaa-2222-bbbb-3333cccc4444]",
    "ClientSecret": "[Copy the client secret added to the app from the Microsoft Entra admin center]",
    "ClientCertificates": [
    ],
    // the following is required to handle Continuous Access Evaluation challenges
    "ClientCapabilities": [ "cp1" ],
    "CallbackPath": "/signin-oidc"
  },
  "DownstreamApis": {
    "MicrosoftGraph": {
      // Specify BaseUrl if you want to use Microsoft graph in a national cloud.
      // See https://learn.microsoft.com/graph/deployments#microsoft-graph-and-graph-explorer-service-root-endpoints
      // "BaseUrl": "https://microsoftgraph.chinacloudapi.cn/v1.0",

      // Set RequestAppToken this to "true" if you want to request an application token (to call graph on 
      // behalf of the application). The scopes will then automatically
      // be ['https://microsoftgraph.chinacloudapi.cn/.default'].
      // "RequestAppToken": false

      // Set Scopes to request (unless you request an app token).
      "Scopes": [ "https://microsoftgraph.chinacloudapi.cn/User.Read" ]

      // See https://aka.ms/ms-id-web/downstreamApiOptions for all the properties you can set.
    }
  },
  "Logging": {
    "LogLevel": {
      "Default": "Information",
      "Microsoft": "Warning",
      "Microsoft.Hosting.Lifetime": "Information"
    }
  },
  "AllowedHosts": "*"
}

Index.cshtml.cs

下面的示例演示如何以已登录用户身份调用 Microsoft Graph 并获取一些用户信息。 GraphServiceClient 对象已注入到控制器中，并且 Microsoft.Identity.Web 库已为你配置了身份验证。

using System.Threading.Tasks;
using Microsoft.AspNetCore.Mvc.RazorPages;
using Microsoft.Graph;
using System.IO;
using Microsoft.Identity.Web;
using Microsoft.Extensions.Logging;

// Some code omitted for brevity.

[AuthorizeForScopes(Scopes = new[] { "https://microsoftgraph.chinacloudapi.cn/User.Read" })]
public class IndexModel : PageModel
{
    private readonly ILogger<IndexModel> _logger;
    private readonly GraphServiceClient _graphServiceClient;

    public IndexModel(ILogger<IndexModel> logger, GraphServiceClient graphServiceClient)
    {
        _logger = logger;
        _graphServiceClient = graphServiceClient;
    }

    public async Task OnGetAsync()
    {
        try
        {
            var user = await _graphServiceClient.Me.GetAsync();
            ViewData["Me"] = user;
            ViewData["name"] = user.DisplayName;

            using (var photoStream = await _graphServiceClient.Me.Photo.Content.GetAsync())
            {
                byte[] photoByte = ((MemoryStream)photoStream).ToArray();
                ViewData["photo"] = Convert.ToBase64String(photoByte);
            }
        }
        catch (Exception ex)
        {
            ViewData["photo"] = null;
        }
    }
}

通过使用封装身份验证逻辑的自定义 AuthProvider 类，Web 应用从传入的请求标头中获取用户的访问令牌。 AuthProvider 实例检测到该 Web 应用托管在应用服务中，并从应用服务身份验证/授权模块获取访问令牌。 然后将该令牌传递到 Microsoft Graph SDK 客户端，以对 /me 终结点发出身份验证的请求。

const graphHelper = require('../utils/graphHelper');

// Some code omitted for brevity.

exports.getProfilePage = async(req, res, next) => {

    try {
        const graphClient = graphHelper.getAuthenticatedClient(req.session.protectedResources["graphAPI"].accessToken);

        const profile = await graphClient
            .api('/me')
            .get();

        res.render('profile', { isAuthenticated: req.session.isAuthenticated, profile: profile, appServiceName: appServiceName });   
    } catch (error) {
        next(error);
    }
}

为了查询 Microsoft Graph，请使用 Microsoft Graph JavaScript SDK。

const graph = require('@microsoft/microsoft-graph-client');

// Some code omitted for brevity.

getAuthenticatedClient = (accessToken) => {
    // Initialize Graph client
    const client = graph.Client.init({
        // Use the provided access token to authenticate requests
        authProvider: (done) => {
            done(null, accessToken);
        }
    });

    return client;
}