MS Graph Daemon App -获取持有者令牌

Question

我正在创建一个守护程序应用程序，例如一个‘非用户交互’应用程序，将使用‘服务帐户’代表最终用户执行身份验证。所以没有登录提示是必需的。

“服务帐户”具有相关的委派权限，并且管理员同意对应用程序进行审批，则应用程序权限设置为“应用程序权限”。

公司策略禁止客户端凭据流，因此没有访问“Client _secret”的权限。如果我尝试使用带有服务帐户用户名/密码的ROPC流，POST请求将返回“Invalid Grant”错误。

我不清楚我将使用/可以使用什么流程来获取不记名令牌，这将使应用程序能够调用MS Graph API？

问题与此类似，尽管我不能使用Client Flow：Can a MS Graph background/daemon app impersonate a user account without user interaction

Answer 1

要模拟用户(即委托访问，使用委托权限)并代表用户访问Microsoft Graph，用户必须在某个时刻登录到应用程序(或上游应用程序)。

另一种方法是服务以自身身份进行身份验证(即使用客户端凭据流)，并直接访问Microsoft Graph。

Microsoft Identity platform不支持模拟尚未实际登录到应用程序的任意用户。

通常，强烈建议您使用资源所有者密码凭据(ROPC)流来模拟使用该帐户的用户名和密码的用户帐户。