来自OAuth的Base64 SAML断言无效，代表Azure AD中的流

Question

在使用Azure AD和on - behalfof Flow交换OAuth访问令牌到SAML断言时，我遇到了一个奇怪的问题。我正在尝试使用Azure AD的on -代表流将OAuth访问令牌交换到SAML断言。

设置>

• 前端使用OAuth访问令牌与后端通信
• 我需要从中获取数据的数据源，受SAML保护

从数据源获取数据的请求需要从后端执行，因为对数据源存在访问限制。

遵循Azure AD v1 (Github文档)的文档，我能够请求最初看起来很好的响应。我使用的请求参数是:

grant_type: urn:ietf:params:oauth:grant-type:jwt-bearer
assertion: <access token containing the correct scopes for the Back-End>
client_id: <client-id-of-back-end>
client_secret: <assigned-secret>
resource: <resource-of-the-datasource>
requested_token_use: on_behalf_of
requested_token_type: urn:ietf:params:oauth:token-type:saml2

请求作为POST请求发送，使用x-www-form-urlencoded作为内容类型(端点"https://login.microsoftonline.com/tenant-id/oauth2/token")。

我几乎可以肯定，我遇到了一个bug，但是我不知道如何在没有开发人员支持计划的情况下联系Azure。我收到的响应一开始看起来很好:

{
"token_type": "Bearer",
"expires_in": "3579",
"ext_expires_in": "3579",
"expires_on": "1613985579",
"resource": "<datasource>",
"access_token": "PEFzc2Vyd...9uPg",
"issued_token_type": "urn:ietf:params:oauth:token-type:saml2",
"refresh_token": "0.ATEAt...hclkg-7g"
}

access_token字段的断言不是一个有效的base64字符串。试图解码它使用c#Base64Convert，结果在这个例外:

System.FormatException: The input is not a valid Base-64 string as it contains a non-base 64 character, more than two padding characters, or an illegal character among the padding characters.

然而，我能够使用bashbase64 -D部分解码它，这给了我一个有效的断言:

$ base64 -D "response.txt"
Invalid character in input stream.
<Assertion ID="_26be6964-2e17-4184-8ac7-d4cdbb9d5700" IssueInstant="2021-02-22T12:35:49.919Z" Version="2.0" xmlns="urn:oasis:names:tc:SAML:2.0:assertion"><Issuer>https://sts.windows.net/[id]/</Issuer><Signature xmlns="http://www.w3.org/2000/09/xmldsig#"><SignedInfo><CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/><SignatureMethod Algorithm="http://www.w3.org/2001/04/xmldsig-more#rsa-sha256"/><Reference URI="#_26be6964-2e17-4184-8ac7-d4cdbb9d5700"><Transforms><Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/><Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/></Transforms><DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha256"/>...<Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname"><AttributeValue>[e-mail]</

我几乎可以肯定，断言应该是一个有效的base64字符串解码使用任何能够这样做。我错过什么了吗?或者这是已知的问题与V1 OBO流?是否有已知的解决方法?

Answer 1

断言是您在这里提到的对AAD的初始调用中收到的访问令牌。

这是一个基于Based64 URL编码的JWT令牌，可以使用https://JWT.io或https://JWT.ms之类的工具或使用任何编程语言进行解码。主要的一点是，如果发出的访问令牌是一个有效的访问令牌，它应该被解码，并且在随后的调用中添加的访问令牌与获取SAML令牌的访问令牌相同。

您也可以查看以下关于OBO流程的文章:https://blogs.aaddevsup.xyz/2019/08/understanding-azure-ads-on-behalf-of-flow-aka-obo-flow/

这里要注意的重点是我们如何从AAD请求初始访问令牌。如果你的前端是SPA，如果你在那里使用隐式流，你可能想看看这个">截至2018年5月，一些隐式流派生的id_令牌不能用于OBO流。单页应用(spa)应该将访问令牌传递给中间层机密客户端来执行OBO流。"

在解码JWT时，首先需要将其从Base64URL编码的字符串转换为Base64编码的字符串。一旦JWT被base64编码，就需要对其进行解码，然后将其解析为json。

Powershell示例:

$token = "<put the jwt here>"
if (!$token.Contains(".") -or !$token.StartsWith("eyJ")) { 
Write-Error "Invalid token" -ErrorAction Stop 
}
# Token
foreach ($i in 0..1) {
$data = $token.Split('.')[$i].Replace('-', '+').Replace('_', '/')
switch ($data.Length % 4) {
0 { break }
2 { $data += '==' }
3 { $data += '=' }
}
}
$decodedToken = [System.Text.Encoding]::UTF8.GetString([convert]::FromBase64String($data)) | ConvertFrom-Json 
Write-Verbose "JWT Token:"
Write-Verbose $decodedToken

c#示例:

static void jwtDecoder()
{
try
{
Console.WriteLine("JWT to Decode: " + jwtEncodedString + "n");
var jwtHandler = new JwtSecurityTokenHandler();
var readableToken = jwtHandler.CanReadToken(jwtEncodedString);
if (readableToken != true)
{
Console.WriteLine("nnThe token doesn't seem to be in a proper JWT format.nn");
}
if (readableToken == true)
{
var token = jwtHandler.ReadJwtToken(jwtEncodedString);
var headers = token.Header;
var jwtHeader = "{";
foreach (var h in headers)
{
jwtHeader += '"' + h.Key + "":"" + h.Value + "",";
}
jwtHeader += "}";
Console.Write("nHeader :rn" + JToken.Parse(jwtHeader).ToString(Formatting.Indented));
var claims = token.Claims;
var jwtPayLoad = "{";
foreach (Claim c in claims)
{
jwtPayLoad += '"' + c.Type + "":"" + c.Value + "",";
}
jwtPayLoad += "}";
Console.Write("rnPayload :rn" + JToken.Parse(jwtPayLoad).ToString(Formatting.Indented));
var jwtSignature = "[RawSignature: ";
jwtSignature += token.RawSignature;
jwtSignature += " ]";
Console.Write("rnSignature :rn" + jwtSignature);
//Console.ReadLine();
}
}
finally
{
Console.Write("nnPress Enter to close window ...");
Console.Read();
}
}