たちはADAL</p> <p>を使用して私たちのネイティブアプリのためのAzure AD認証を実装している

Question

私たちは、ネイティブアプリがADALを使用してアズールADに対して認証および弊社のWebアプリへの上に返さJWTを渡す持っているのAzure AD ADAL要求によって返さ検証と適切なアカウントへのログインのために。

ADALを使用して返されたJWTには、ユーザーのobjectIDが含まれていないという問題が発生しています。

これは、Azure ADネイティブアプリの設定方法やADAL認証要求を渡すパラメータと関連があると推測しています。

誰かが私たちが間違って設定したものについて何か提案がありますか？

Answer 1

Azure ADからこのようなトークンを取得すると、「パススルー」トークンと呼ばれます。技術的には、トークンが表すユーザーが、認証が発生したテナントに存在しないことを意味します。パススルートークンの告知の兆候はoidクレームの不足、idpクレームの存在、altsecidクレームの存在、最も重要なのはidpクレームで、issクレームと一致しません。

サードパーティアプリケーションは、Azure ADからパススルートークンを受け取るべきではありません。この場合、トークンはあなたのアプリではないID 00000002-0000-0000-c000-000000000000のアプリを対象としています。これは、Microsoft GraphまたはAAD Graph（私は忘れている）です。 は、あなたのアプリケーションではないaudのトークンを検証するトークンである必要があります。任意の時点で、そのアプリケーションの所有者がトークン形式を変更し、アプリケーションを完全に破棄する可能性があります。代わりに、アプリケーションのAppID URIをresourceパラメータとしてADALに渡し、その結果のトークンをWebサービスに送信する必要があります。 aka.ms/aaddevには、独自のWeb APIを作成する方法を示すサンプルがたくさんあります。

すべてのことを言って、私はここであなたの問題だとは思わない。あなたがテナント39f8b586-1a6c-413e-9fd3-70b57a1d9fa0、 "Mars Feature 3 Native"テナントに対してユーザーとサインインしているようです。おそらく、ADALのauthorityパラメータに渡す値です。したがって、test.user69@smartsheet365.onmicrosoft.comにサインインすると、火星のテナントがあなたのアプリに渡されます（トークンはあなたのアプリ用ではないためです）。代わりに、テナント3836f4a1-67af-43f2-a675-f9f54899abe0、smartsheet365.onmicrosoft.comテナントを使用する必要があります。その後、Azure ADから通常のユーザートークンを取得する必要があります。