Azure - AD - AcquireTokenSilent выдает ошибку failed_to_acquire_token_silently

Мы смогли решить эту проблему. Вроде бы небольшая ошибка в самом коде. Когда срок действия AccessToken истекает, он генерирует исключение и пытается получить новое, используя AcquireTokenByRefreshToken в блоке catch. Здесь мы не устанавливали вновь полученный токен обновления обратно в файл cookie. Нам также нужно добавить приведенный ниже оператор в блок catch, чтобы он получил токен обновления, который затем можно было бы передать обратно для создания нового токена доступа.

httpCookie.Value = authenticationResult.RefreshToken;

Прежде всего, перед использованием AcquireTokenSilent вы должны вызвать AcquireTokenByAuthorizationCodeAsync.

var context = new AuthenticationContext(authorityUri);
var credential = new ClientCredential(clientId, clientSecretKey);

await context.AcquireTokenByAuthorizationCodeAsync(authorizationCode, new Uri(redirectUri), credential);

AcquireTokenByAuthorizationCodeAsync сохраняет токен доступа и токен обновления в TokenCache.DefaultShared (для уникального идентификатора пользователя, полученного из процедуры аутентификации).

Если вы это сделаете, срок действия токенов доступа и обновлений истечет. Если это произойдет, вы должны поймать AdalSilentTokenAcquisitionException исключение:

try
{
    // currentUser = new UserIdentifier() for: ClaimsPrincipal.Current.FindFirst("http://schemas.microsoft.com/identity/claims/objectidentifier")
    AuthenticationResult authResult = await context.AcquireTokenSilentAsync(resourceUri, credential, currentUser);

    return authResult.AccessToken;
}
catch (AdalSilentTokenAcquisitionException)
{
    return null;
}

Вызывайте этот метод перед каждым запросом к ресурсу. Это не требует больших затрат, в идеале ничего, или API-интерфейс oauth с помощью refreshToken.

Но когда бросается AdalSilentTokenAcquisitionException (или это первый звонок). Вы должны вызвать процедуру, которая выполняет полное извлечение кода доступа из oauth API. Какая процедура? Это зависит от типа используемого вами процесса авторизации.

С полной авторизацией owin это может быть:

• перенаправить на авторитетный uri с {"response_type", "code" }
• или вызов HttpContext.GetOwinContext().Authentication.Challenge(OpenIdConnectAuthenticationDefaults.AuthenticationType); (возврат null из действия контроллера, поскольку метод Challenge() изменяет ответ HTTP, чтобы принудительно перенаправить на сервер аутентификации). Завершить обработку текущего запроса (с возвращением null). Сервер аутентификации вызовет ваш метод авторизации (событие AuthorizationCodeReceived из уведомлений UseOpenIdConnectAuthentication) с новым кодом авторизации. Позже перенаправьте обратно на исходную страницу, которой нужен токен.

Таким образом, вы можете получить исключение AdalSilentTokenAcquisitionException, потому что срок действия кеша истек, а refreshToken истек. Вам необходимо повторно пройти аутентификацию (это прозрачно, страница входа не требуется).