Может ли конечная точка маркера Azure AD OAuth 2 взять маркер kerberos в качестве кода auth?

Question

При выполнении потока OAuth 2.0 с Azure AD documented process предназначен для перенаправления конечной точки аут-аута, чтобы получить authtoken, получить перенаправление обратно, когда пользователь входит в систему, а затем вызвать точку окончания токена, чтобы получить токен доступа, передающий код Auth первый шаг был дан.

Приложения, которые я делаю для этого, уже будут маркером kerberos, можно ли получить токен доступа, не делая перенаправление с помощью Azure AD? Например, может ли конечная точка OAuth взять билет в кеберосе?

Основываясь на всем, что я прочитал, это нет. Я просто хотел проверить, так как было бы неплохо не делать перенаправление для лучшего пользовательского опыта.

Answer 1

Тони,

Я предполагаю, что вы говорите с AuthorizationCodeFlow http://openid.net/specs/openid-connect-core-1_0.html#CodeFlowAuth. Короткий ответ: нет. AAD выдает «код» и отслеживает артефакты запроса, чтобы он мог выдавать id_tokens и access_tokens, связанные с пользователем.

Answer 2

Нет, не существует стандартизованного типа гранта, который указывает, как обменивать токен Kerberos для токена доступа в конечной точке маркера. Спецификация оставляет место для определения этого как будущего расширения.

На данный момент только ваши стандартные опции для:

• использовать владелец ресурса пароль потоку полномочий, чтобы избежать редирект, но потерять SSO
• использовать поток кода авторизации, чтобы иметь возможность использовать Kerberos для аутентифицироваться в SSO-моду, но требовать перенаправления.