問題タブ [openid-connect]

私の ASP.NET MVC 4 アプリケーションは、MVC テンプレート (すぐに使用できる) に付属する OpenID2 認証を使用し、認証には Google アカウントのみを使用し、他のソーシャル機能は統合されていません。

OpenID2 は 4 月にシャットダウンされるため、移行する必要があります。 OpenID2 の移行

この移行を行うには、次の 2 つのオプションのいずれかを使用できるようです。

• OpenID コネクト
• Google+ ログイン

2つの方法の違いと、一方が他方に関連する利点/欠点をよりよく理解したいと思います。

これまでとの最大の違いは、OpenID Connect を本質的に認証に使用し、Google+ サインインには認証機能とソーシャル機能があることだと思います。私は正しいですか？

次の GET を使用して、Office365 Azure テナントのユーザーの OpenId UserInfo エンドポイントにアクセスしようとしています。

応答は「400 Bad Request」で失敗し、より具体的なエラー「AADSTS50063: Credential parsing failed. AADSTS90010: JWT tokens cannot be used with the UserInfo endpoint」が表示されます。

使用されるベアラー トークンは、Exchange メールの取得など、他の操作で正常に機能する、有効期限が切れていないアクセス トークンです。

さらに、" https://www.googleapis.com/plus/v1/people/me/openIdConnect "で openid userinfo エンドポイントに同一の GET を使用すると(gmail アクセス シナリオの一部として)、正常に動作します。

私はここで何か悪いことをしていますか? 助けてくれてありがとう！

追加情報:

-すでにaccess_tokenの代わりにid_tokenを使用しようとしましたが、これは違いはありません.

-使用される Oauth スコープは「プロファイル メール」です。

-要求されたリソースは「https://outlook.office365.com/」です

- クライアント アプリケーションはネイティブ アプリであり、"Windows Azure AD" と "Office 365 Exchange Online" の両方に対してすべての委任されたアクセス許可が有効になっています。

OpenId は、仕様のどこでもトークンの双方向交換をサポートしていますか? 具体的には、両当事者が何らかの方法でトークンを互いに共有できるようにして、サービスを互いに共有できるようにしますか?

spec を調べましたが、このようなシナリオの詳細を示すものは何も見当たりません。

私が取り組んでいるアプリは、信頼できる OpenId プロバイダー (Acme と呼びます) と統合されています。

また、Acme も私たちのサービスの機能にアクセスしたいと考えているため、アクセス トークンとリフレッシュ トークンを Acme に提供したいと考えています。

Acme からトークンを取得するための対話中に、トークンを Acme に公開したいと思うのは自然なことのように思えます。

これは仕様の一部ですか？それとも、これを行う唯一の方法は、完全な ID プロバイダーになることですか?

ログイン ページへのリダイレクト (302) を引き起こす 401 応答に問題があります。私のアプリケーションでは、MVC と Web API の両方を使用しています。OpenID と Azure Active Directory を使用してユーザーを認証しています。私の認証設定は次のとおりです。

Web API 呼び出しで 401 が生成された場合、そのステータスをクライアントに返す必要があります。here、here、hereなどの多くの記事を読みましたが、実用的な解決策を得ることができませんでした。最後のリンクの返信で提案されているように、404 を返すこともできますが、そうしないことをお勧めします。誰でもアプローチを提案できますか?