Есть ли способ узнать, какой aad использовать для аутентификации заранее?

Question

У меня есть приложение UWP, которое необходимо аутентифицировать, и я хотел бы не просить пользователя выбрать, в каком национальном облаке аутентифицироваться. Я мог бы просто попробовать их все, но я надеюсь, что есть лучший способ определить, к какому Azure Active Directory принадлежит пользователь (.us или.com)

Answer 1

Собственные приложения могут обнаружить конечную точку Azure AD для национального облака, передав параметр instance_aware в запросе на авторизацию глобальной конечной точке Azure AD. Это делается в вызове acquToken, где вам нужно передать instance_aware = true в качестве дополнительного параметра запроса при инициализации контекста аутентификации.

В результате проверки подлинности вы можете прочитать и сохранить атрибут cloud_instance_host_name, чтобы узнать правильную конечную точку Azure AD. Вы должны передать это значение как полномочие для повторной инициализации контекста аутентификации, чтобы последующие вызовы acquTokenSilent были успешными.

Пример кода ADAL.Net приведен ниже:

var authenticationContext= new AuthenticationContext(Authority, false, new TokenCache());

var authenticationResult = await authenticationContext.AcquireTokenAsync(resource,  
                                        clientId,  
                                        redirectUri,  
                                        platformParameters,  
                                        userIdentifier,  
                                        "instance_aware=true"
                                        );

Также, вот пример запроса OAuth и ответов с использованием параметра instance_aware:

Запрос:

https://login.microsoftonline.com/common/oauth2/authorize?
response_type=code&
client_id=f5d01c1c-abe6-4207-ae2d-5bc9af251724&
instance_aware=true&
redirect_uri=http://localhost/appcheck&
resource=00000002-0000-0000-c000-000000000000

Отклик:

http://localhost/appcheck?
code=AQABAAIAAQDnLpu3ikefR73l_aNlxt5x0ulCIcjaTlOoWp412SJ2Oxlih65_h_Ju3OdOqpEy-mz0giFzZtU2_MbIgSG12e6RjwxpcaXaVPene_lMtmR2DPexUZZ3QhFRl8Vgl76SidX_nJ1CN-hJAejCi139FG_YZit4ePbiNySC3zR9GcP3B3St7HDsdEhMh1Vi1XHSSKfpgVqzLnOiBSO_jXrm1WJVqXSlt4_M_KO92Gdpbpy8H7zpsRg0O6blbuSw_83YUcj0w1gEfByHZP2Hk5AToDy_DWepPqJ0GWOJYeKcfIiEFleNYaeyEJDDuMyFhV16IOT28mq1oNOWL0dnhjwr-OV0JnyajQCT_LZzapxp7Y-8jSPDgW6SR878sgrq6CS2z3Zos8_T31n4DucQaPqv2Ae_jxlGHHSENBFy2RhHy397B7BBohXGqhDj_OdIroimDOJGVewn612gQOA6-9p0llv-PNd7vj9VZL-9Q8kEuYuhTqaBsH3yKm6y9FfgxMWovVkYtDt4YgxbqCV2Wb_lzImtyTHKxazn6YhH6R2pCvFdVSAA&
cloud_instance_name=microsoftonline.us&
cloud_instance_host_name=login.microsoftonline.us&
cloud_graph_host_name=graph.windows.net&
msgraph_host=graph.microsoft.com&
session_state=899b8a55-034f-4dcd-8b4b-888b7874b041

Один из способов "выборочной проверки", к какой облачной / AAD-среде принадлежит пользователь, - позвонить в конечную точку обнаружения Azure AD OpenID Connect:

https://login.microsoftonline.com/ place_tenantname_or_tenantid_here /.well-known/openid-configuration

Для правительства Azure значение "USG" или "USGov" в качестве значения в поле tenant_region_scope будет указывать на владельцев, которые должны использовать login.microsoftonline.us.

Надеюсь, это поможет. Дайте мне знать, если нет.

Bernie