使用 Microsoft Graph 和仅限应用的身份验证生成 .NET 应用

项目
Developer (初级)
19 分钟可完成

本教程介绍如何生成一个 .NET 控制台应用，该应用使用 Microsoft 图形 API使用仅限应用的身份验证访问数据。对于需要访问组织中所有用户的数据的后台服务或应用程序，仅应用身份验证是一个不错的选择。

注意

若要了解如何使用 Microsoft Graph 代表用户访问数据，请参阅此用户 (委托) 身份验证教程。

在本教程中，你将：

List users

提示

作为本教程的替代方法，可以下载或克隆 GitHub 存储库，并按照 README 中的说明注册应用程序并配置项目。

先决条件

在开始本教程之前，应在开发计算机上安装 .NET SDK 。

你还应拥有具有全局管理员角色的 Microsoft 工作或学校帐户。如果没有 Microsoft 帐户，可以注册 Microsoft 365 开发人员计划以获取免费的 Microsoft 365 订阅。

注意

本教程使用 .NET SDK 版本 7.0.102 编写。本指南中的步骤可能适用于其他版本，但尚未测试。

在门户中注册该应用

剩余 18 分钟

在本练习中，你将在 Azure Active Directory 中注册一个新应用程序，以启用仅限应用的身份验证。可以使用 Azure Active Directory 管理中心或使用 Microsoft Graph PowerShell SDK 注册应用程序。

注册应用程序进行仅限应用的身份验证

在本部分中，你将注册一个支持使用客户端凭据流进行仅限应用身份验证的应用程序。

Azure AD 管理中心
PowerShell

打开浏览器并导航到 Azure Active Directory 管理中心，并使用全局管理员帐户登录。
选择左侧导航栏中的“Azure Active Directory”，再选择“管理”下的“应用注册”。
选择“新注册”。输入应用程序的名称，例如 .NET Graph Tutorial。
将 “支持的帐户类型 ”设置为 “仅此组织目录中的帐户”。
保留“重定向 URI”为空。
选择“注册”。在应用程序的 “概述 ”页上，复制 “应用程序 (客户端) ID ”和 “目录 (租户) ID ”的值并保存它们，下一步将需要这些值。
在“管理”下选择 “API 权限”。
删除“配置权限”下的默认 User.Read 权限，方法是在其行中选择省略号 (...) 并选择“删除权限”。
依次选择 “添加权限”、“ Microsoft Graph”。
选择“应用程序权限”。
选择 “User.Read.All”，然后选择“ 添加权限”。
选择“ 授予管理员同意...”，然后选择“ 是 ”，为所选权限提供管理员同意。
选择“管理”下的“证书和机密”，然后选择“新建客户端密码”。
输入说明，选择持续时间，然后选择 “添加”。
复制 “值 ”列中的机密，后续步骤中将需要它。

重要

此客户端密码不会再次显示，所以请务必现在就复制它。

若要使用 PowerShell，需要 Microsoft Graph PowerShell SDK。如果没有，请参阅安装 Microsoft Graph PowerShell SDK 了解安装说明。

创建名为 RegisterAppForAppOnlyAuth.ps1 的新文件，并添加以下代码。

param(
  [Parameter(Mandatory=$true,
  HelpMessage="The friendly name of the app registration")]
  [String]
  $AppName,

  [Parameter(Mandatory=$true,
  HelpMessage="The application permission scopes to configure on the app registration")]
  [String[]]
  $GraphScopes,

  [Parameter(Mandatory=$false)]
  [Switch]
  $StayConnected = $false
)

$graphAppId = "00000003-0000-0000-c000-000000000000"

# Requires an admin
Connect-MgGraph -Scopes "Application.ReadWrite.All User.Read" -UseDeviceAuthentication -ErrorAction Stop

# Get context for access to tenant ID
$context = Get-MgContext -ErrorAction Stop
$authTenant = $context.TenantId

# Create app registration
$appRegistration = New-MgApplication -DisplayName $AppName -SignInAudience "AzureADMyOrg" -ErrorAction Stop
Write-Host -ForegroundColor Cyan "App registration created with app ID" $appRegistration.AppId

# Create corresponding service principal
$appServicePrincipal = New-MgServicePrincipal -AppId $appRegistration.AppId -ErrorAction SilentlyContinue `
  -ErrorVariable SPError
if ($SPError)
{
  Write-Host -ForegroundColor Red "A service principal for the app could not be created."
  Write-Host -ForegroundColor Red $SPError
  Exit
}

Write-Host -ForegroundColor Cyan "Service principal created"

# Lookup available Graph application permissions
$graphServicePrincipal = Get-MgServicePrincipal -Filter ("appId eq '" + $graphAppId + "'") -ErrorAction Stop
$graphAppPermissions = $graphServicePrincipal.AppRoles

$resourceAccess = @()

foreach($scope in $GraphScopes)
{
  $permission = $graphAppPermissions | Where-Object { $_.Value -eq $scope }
  if ($permission)
  {
    $resourceAccess += @{ Id =  $permission.Id; Type = "Role"}
  }
  else
  {
    Write-Host -ForegroundColor Red "Invalid scope:" $scope
    Exit
  }
}

# Add the permissions to required resource access
Update-MgApplication -ApplicationId $appRegistration.Id -RequiredResourceAccess `
 @{ ResourceAppId = $graphAppId; ResourceAccess = $resourceAccess } -ErrorAction Stop
Write-Host -ForegroundColor Cyan "Added application permissions to app registration"

# Add admin consent
foreach ($appRole in $resourceAccess)
{
  $appServicePrincipal
  New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $appServicePrincipal.Id `
   -PrincipalId $appServicePrincipal.Id -ResourceId $graphServicePrincipal.Id `
   -AppRoleId $appRole.Id -ErrorAction SilentlyContinue -ErrorVariable SPError | Out-Null
  if ($SPError)
  {
    Write-Host -ForegroundColor Red "Admin consent for one of the requested scopes could not be added."
    Write-Host -ForegroundColor Red $SPError
    Exit
  }
}
Write-Host -ForegroundColor Cyan "Added admin consent"

# Add a client secret
$clientSecret = Add-MgApplicationPassword -ApplicationId $appRegistration.Id -PasswordCredential `
 @{ DisplayName = "Added by PowerShell" } -ErrorAction Stop

Write-Host
Write-Host -ForegroundColor Green "SUCCESS"
Write-Host -ForegroundColor Cyan -NoNewline "Client ID: "
Write-Host -ForegroundColor Yellow $appRegistration.AppId
Write-Host -ForegroundColor Cyan -NoNewline "Tenant ID: "
Write-Host -ForegroundColor Yellow $authTenant
Write-Host -ForegroundColor Cyan -NoNewline "Client secret: "
Write-Host -ForegroundColor Yellow $clientSecret.SecretText
Write-Host -ForegroundColor Cyan -NoNewline "Secret expires: "
Write-Host -ForegroundColor Yellow $clientSecret.EndDateTime

if ($StayConnected -eq $false)
{
  Disconnect-MgGraph
  Write-Host "Disconnected from Microsoft Graph"
}
else
{
  Write-Host
  Write-Host -ForegroundColor Yellow `
   "The connection to Microsoft Graph is still active. To disconnect, use Disconnect-MgGraph"
}

保存文件。
打开 PowerShell，将当前目录更改为 RegisterAppForAppOnlyAuth.ps1的位置。

运行以下命令：

.\RegisterAppForAppOnlyAuth.ps1 -AppName ".NET App-Only Graph Tutorial" -GraphScopes "User.Read.All"

按照提示在浏览器中打开 https://microsoft.com/devicelogin ，输入提供的代码，然后完成身份验证过程。

从脚本输出复制“客户端 ID”、“租户 ID”和“客户端机密”值。在下一步中，你将需要这些值。

SUCCESS
Client ID: ae2386e6-799e-4f75-b191-855d7e691c75
Tenant ID: 5927c10a-91bd-4408-9c70-c50bce922b71
Client secret: ...
Secret expires: 10/28/2024 5:01:45 PM

注意

请注意，与注册用户身份验证时的步骤不同，在本部分中，你确实配置了对应用注册的 Microsoft Graph 权限。这是因为仅应用身份验证使用客户端凭据流，这需要在应用注册上配置权限。有关详细信息，请参阅 .default 范围。

创建 .NET 控制台应用

剩余 15 分钟

首先使用 .NET CLI 创建新的 .NET 控制台项目。

在要在其中创建项目的目录中打开命令行界面 (CLI) 。运行以下命令：
```
dotnet new console -o GraphAppOnlyTutorial
```
创建项目后，通过将当前目录更改为 GraphTutorial 目录并在 CLI 中运行以下命令来验证它是否正常工作。
```
dotnet run
```
如果有效，应用应输出 Hello, World!。

安装依赖项

在继续操作之前，请添加稍后将使用的一些附加依赖项。

用于从 appsettings.json 读取应用程序配置的 .NET 配置包。
用于 .NET 的 Azure 标识客户端库，用于对用户进行身份验证并获取访问令牌。
用于调用 Microsoft Graph 的 Microsoft Graph .NET 客户端库。

在 CLI 中运行以下命令以安装依赖项。

dotnet add package Microsoft.Extensions.Configuration.Binder
dotnet add package Microsoft.Extensions.Configuration.Json
dotnet add package Microsoft.Extensions.Configuration.UserSecrets
dotnet add package Azure.Identity
dotnet add package Microsoft.Graph

加载应用程序设置

在本部分中，你将向项目添加应用注册的详细信息。

在 GraphAppOnlyTutorial 目录中创建名为 appsettings.json 的文件，并添加以下代码。

{
  "settings": {
    "clientId": "YOUR_CLIENT_ID_HERE",
    "tenantId": "YOUR_TENANT_ID_HERE"
  }
}

根据下表更新值。

设置值

clientId 应用注册的客户端 ID

tenantId 组织的租户 ID。

提示

（可选）可以在名为 appsettings 的单独文件中设置这些值 。Development.json。
将客户端密码添加到 .NET 机密管理器。在命令行界面中，将目录更改为 GraphAppOnlyTutorial.csproj 的位置，并运行以下命令，将 <客户端机密> 替换为客户端密码。
```
dotnet user-secrets init
dotnet user-secrets set settings:clientSecret <client-secret>
```
更新 GraphAppOnlyTutorial.csproj 以将 appsettings.json 复制到输出目录。在和 </Project> 行之间<Project>添加以下代码。
```
<ItemGroup>
  <None Include="appsettings*.json">
    <CopyToOutputDirectory>Always</CopyToOutputDirectory>
  </None>
</ItemGroup>
```

设置	值
`clientId`	应用注册的客户端 ID
`tenantId`	组织的租户 ID。

在 GraphAppOnlyTutorial 目录中创建名为 Settings.cs 的文件，并添加以下代码。

using Microsoft.Extensions.Configuration;

public class Settings
{
    public string? ClientId { get; set; }
    public string? ClientSecret { get; set; }
    public string? TenantId { get; set; }

    public static Settings LoadSettings()
    {
        // Load settings
        IConfiguration config = new ConfigurationBuilder()
            // appsettings.json is required
            .AddJsonFile("appsettings.json", optional: false)
            // appsettings.Development.json" is optional, values override appsettings.json
            .AddJsonFile($"appsettings.Development.json", optional: true)
            // User secrets are optional, values override both JSON files
            .AddUserSecrets<Program>()
            .Build();

        return config.GetRequiredSection("Settings").Get<Settings>() ??
            throw new Exception("Could not load app settings. See README for configuration instructions.");
    }
}

设计应用

在本部分中，你将创建一个基于控制台的简单菜单。

打开 ./Program.cs ，并将其全部内容替换为以下代码。

Console.WriteLine(".NET Graph App-only Tutorial\n");

var settings = Settings.LoadSettings();

// Initialize Graph
InitializeGraph(settings);

int choice = -1;

while (choice != 0)
{
    Console.WriteLine("Please choose one of the following options:");
    Console.WriteLine("0. Exit");
    Console.WriteLine("1. Display access token");
    Console.WriteLine("2. List users");
    Console.WriteLine("3. Make a Graph call");

    try
    {
        choice = int.Parse(Console.ReadLine() ?? string.Empty);
    }
    catch (System.FormatException)
    {
        // Set to invalid value
        choice = -1;
    }

    switch(choice)
    {
        case 0:
            // Exit the program
            Console.WriteLine("Goodbye...");
            break;
        case 1:
            // Display access token
            await DisplayAccessTokenAsync();
            break;
        case 2:
            // List users
            await ListUsersAsync();
            break;
        case 3:
            // Run any Graph code
            await MakeGraphCallAsync();
            break;
        default:
            Console.WriteLine("Invalid choice! Please try again.");
            break;
    }
}

在文件末尾添加以下占位符方法。你将在后面的步骤中实现它们。

void InitializeGraph(Settings settings)
{
    // TODO
}

async Task DisplayAccessTokenAsync()
{
    // TODO
}

async Task ListUsersAsync()
{
    // TODO
}

async Task MakeGraphCallAsync()
{
    // TODO
}

这将实现基本菜单，并从命令行读取用户的选择。

添加仅限应用的身份验证

剩余 9 分钟

在本部分中，将向应用程序添加仅限应用的身份验证。这是获取调用 Microsoft Graph 所需的 OAuth 访问令牌所必需的。在此步骤中，你将将适用于 .NET 的 Azure 标识客户端库集成到应用程序中，并为 Microsoft Graph .NET 客户端库配置身份验证。

Azure 标识库提供了许多 TokenCredential 实现 OAuth2 令牌流的类。 Microsoft Graph 客户端库使用这些类对 Microsoft Graph 的调用进行身份验证。

为 Graph 客户端配置仅限应用的身份验证

在本部分中， ClientSecretCredential 你将使用类通过客户端凭据流请求访问令牌。

在 GraphTutorial 目录中创建一个名为 GraphHelper.cs 的新文件，并将以下代码添加到该文件。

using Azure.Core;
using Azure.Identity;
using Microsoft.Graph;
using Microsoft.Graph.Models;

class GraphHelper
{
}

将以下代码添加到 GraphHelper 类。

// Settings object
private static Settings? _settings;
// App-ony auth token credential
private static ClientSecretCredential? _clientSecretCredential;
// Client configured with app-only authentication
private static GraphServiceClient? _appClient;

public static void InitializeGraphForAppOnlyAuth(Settings settings)
{
    _settings = settings;

    // Ensure settings isn't null
    _ = settings ??
        throw new System.NullReferenceException("Settings cannot be null");

    _settings = settings;

    if (_clientSecretCredential == null)
    {
        _clientSecretCredential = new ClientSecretCredential(
            _settings.TenantId, _settings.ClientId, _settings.ClientSecret);
    }

    if (_appClient == null)
    {
        _appClient = new GraphServiceClient(_clientSecretCredential,
            // Use the default scope, which will request the scopes
            // configured on the app registration
            new[] {"https://graph.microsoft.com/.default"});
    }
}

将 Program.cs 中的空InitializeGraph函数替换为以下内容。

void InitializeGraph(Settings settings)
{
    GraphHelper.InitializeGraphForAppOnlyAuth(settings);
}

此代码声明两个 ClientSecretCredential 私有属性：对象和 GraphServiceClient 对象。函数 InitializeGraphForAppOnlyAuth 创建的新实例 ClientSecretCredential，然后使用该实例创建的新 GraphServiceClient实例。每次通过 _appClient对 Microsoft Graph 进行 API 调用时，它都会使用提供的凭据来获取访问令牌。

测试 ClientSecretCredential

接下来，添加代码以从 ClientSecretCredential获取访问令牌。

将以下函数添加到 GraphHelper 类。

public static async Task<string> GetAppOnlyTokenAsync()
{
    // Ensure credential isn't null
    _ = _clientSecretCredential ??
        throw new System.NullReferenceException("Graph has not been initialized for app-only auth");

    // Request token with given scopes
    var context = new TokenRequestContext(new[] {"https://graph.microsoft.com/.default"});
    var response = await _clientSecretCredential.GetTokenAsync(context);
    return response.Token;
}

将 Program.cs 中的空DisplayAccessTokenAsync函数替换为以下内容。

async Task DisplayAccessTokenAsync()
{
    try
    {
        var appOnlyToken = await GraphHelper.GetAppOnlyTokenAsync();
        Console.WriteLine($"App-only token: {appOnlyToken}");
    }
    catch (Exception ex)
    {
        Console.WriteLine($"Error getting app-only access token: {ex.Message}");
    }
}

生成并运行应用。当系统提示输入选项时，请输入 1 。应用程序显示访问令牌。
```
.NET Graph Tutorial

Please choose one of the following options:
0. Exit
1. Display access token
2. List users
3. Make a Graph call
1
App-only token: eyJ0eXAiOiJKV1QiLCJub25jZSI6IlVDTzRYOWtKYlNLVjVkRzJGenJqd2xvVUcwWS...
```
提示

仅出于验证和调试目的，可以使用 Microsoft 的联机令牌分析程序在中https://jwt.ms解码仅限应用的访问令牌。如果在调用 Microsoft Graph 时遇到令牌错误，这很有用。例如，验证令牌中的声明是否 role 包含预期的 Microsoft Graph 权限范围。

列出用户

剩余 6 分钟

在本部分中，你将添加使用仅限应用的身份验证列出 Azure Active Directory 中的所有用户的功能。

打开 ./GraphHelper.cs 并将以下函数添加到 GraphHelper 类。

public static Task<UserCollectionResponse?> GetUsersAsync()
{
    // Ensure client isn't null
    _ = _appClient ??
        throw new System.NullReferenceException("Graph has not been initialized for app-only auth");

    return _appClient.Users.GetAsync((config) =>
    {
        // Only request specific properties
        config.QueryParameters.Select = new[] { "displayName", "id", "mail" };
        // Get at most 25 results
        config.QueryParameters.Top = 25;
        // Sort by display name
        config.QueryParameters.Orderby = new[] { "displayName" };
    });
}

将 Program.cs 中的空ListUsersAsync函数替换为以下内容。

async Task ListUsersAsync()
{
    try
    {
        var userPage = await GraphHelper.GetUsersAsync();

        if (userPage?.Value == null)
        {
            Console.WriteLine("No results returned.");
            return;
        }

        // Output each users's details
        foreach (var user in userPage.Value)
        {
            Console.WriteLine($"User: {user.DisplayName ?? "NO NAME"}");
            Console.WriteLine($"  ID: {user.Id}");
            Console.WriteLine($"  Email: {user.Mail ?? "NO EMAIL"}");
        }

        // If NextPageRequest is not null, there are more users
        // available on the server
        // Access the next page like:
        // var nextPageRequest = new UsersRequestBuilder(userPage.OdataNextLink, _appClient.RequestAdapter);
        // var nextPage = await nextPageRequest.GetAsync();
        var moreAvailable = !string.IsNullOrEmpty(userPage.OdataNextLink);

        Console.WriteLine($"\nMore users available? {moreAvailable}");
    }
    catch (Exception ex)
    {
        Console.WriteLine($"Error getting users: {ex.Message}");
    }
}

运行应用并选择选项 2 以列出用户。

Please choose one of the following options:
0. Exit
1. Display access token
2. List users
3. Make a Graph call
2
User: Adele Vance
  ID: 05fb57bf-2653-4396-846d-2f210a91d9cf
  Email: AdeleV@contoso.com
User: Alex Wilber
  ID: a36fe267-a437-4d24-b39e-7344774d606c
  Email: AlexW@contoso.com
User: Allan Deyoung
  ID: 54cebbaa-2c56-47ec-b878-c8ff309746b0
  Email: AllanD@contoso.com
User: Bianca Pisani
  ID: 9a7dcbd0-72f0-48a9-a9fa-03cd46641d49
  Email: NO EMAIL
User: Brian Johnson (TAILSPIN)
  ID: a8989e40-be57-4c2e-bf0b-7cdc471e9cc4
  Email: BrianJ@contoso.com

...

More users available? True

代码说明

请考虑函数中的 GetUsersAsync 代码。

它获取用户的集合
它使用 Select 请求特定属性
它使用 Top 来限制返回的用户数
它使用 OrderBy 对响应进行排序

可选：添加自己的代码

剩余 4 分钟

在本部分中，你将向应用程序添加你自己的 Microsoft Graph 功能。这可能是 Microsoft Graph 文档或 Graph 资源管理器中的代码片段，也可以是你创建的代码片段。此部分是可选的。

更新应用