如何使用ADAL/OAuth向CRM Online进行身份验证并通过令牌请求数据

Question

我有多个CRM Online实例，这些实例由Microsoft托管在云中
它们都使用相同的Azure Active Directory进行保护，而Azure Active Directory本身由ADFS管理
我的应用程序在Azure AD中注册，因此具有客户端ID/密钥等以及CRM权限。

我想通过Web API连接到CRM的特定实例以请求数据
我可以通过使用CrmServiceClient和包含用户名/密码的连接字符串来实现这一点
这似乎是一个常见的文档示例，但我不想这样做。下面的MSDN文章让我看起来可以通过令牌来实现：https://msdn.microsoft.com/en-us/library/gg327838.aspx

我可以成功获得这样的代币（为了安全起见，我隐瞒了一些细节）：

var tenantName = @"myorg.onmicrosoft.com";
var authString = string.Format(@"https://login.microsoftonline.com/{0}", tenantName);
var authContext = new AuthenticationContext(authString, false);
// I am in the UK so use crm4
var resource = @"https://myorg.crm4.dynamics.com";
var clientId = @"899ac540-2134-1234-abcd-2d6440046630";
var key = @"nStbgtfe0oybU1P5+/FQ4wFn1oLTEDr5M7Kjrghf5yh=";
var clientCred = new ClientCredential(clientId, key);
var authResult = await authContext.AcquireTokenAsync(resource, clientCred);

通常我会将此令牌作为身份验证头传递给HttpRequest，但本博客上的选项3建议可以使用SDK提供的OrganizationWebProxyClient类：http://crmtipoftheday.com/2015/06/24/you-have-oauth-token-now-what/

var orgService = new OrganizationWebProxyClient(
    new Uri("https://myorg.api.crm4.dynamics.com/XRMServices/2011/Organization.svc"), false)
{
    HeaderToken = authResult.AccessToken,
    SdkClientVersion = "8"
};

最后，我需要为微软提供的组织服务添加一个服务参考：

https://myorg.api.crm4.dynamics.com/XRMServices/2011/Organization.svc?singleWSDL&sdkversion=8

这在我的app.config:中创建了一个绑定

<system.serviceModel>
  <bindings>
    <customBinding>
      <binding name="CustomBinding_IOrganizationService">
        <textMessageEncoding />
        <httpsTransport />
      </binding>
    </customBinding>
  </bindings>
  <client>
    <endpoint address="https://myorg.api.crm4.dynamics.com/XRMServices/2011/Organization.svc"
    binding="customBinding" bindingConfiguration="CustomBinding_IOrganizationService"
    contract="CRMOrgService.IOrganizationService" name="CustomBinding_IOrganizationService" />
  </client>
 </system.serviceModel>

然后我可以将其分配给组织服务：

var binding = new CustomBinding("CustomBinding_IOrganizationService");
orgService.Endpoint.Binding = binding;

最后我可以调用web服务：

var contacts = orgService.RetrieveMultiple(new QueryExpression
{
    EntityName = "contact",
    ColumnSet = new ColumnSet("firstname", "lastname")
})
.Entities
.Select(item => item.ToEntity<Contact>());

然而，在呼叫组织服务时，我收到了一个错误：

验证消息的安全性时出错

我相信这个错误实际上吞噬了真正的错误（感谢微软），所以我不知道到底出了什么问题
网上很多文档都说是客户端和服务器时间不同步，但我不认为是这样。我无法证明微软服务器的时间，但我的时钟绝对准确，而且在英国的正确时区。

有人知道我做错了什么吗
或者，在没有用户名/密码的情况下，是否有不同的身份验证方法
或者我只是找错了树，我到底应该使用用户名/密码吗？

Answer 1

CRM Online似乎不支持任何类型的匿名或被动身份验证，必须始终提供有效的用户名和密码。

我只是简单地创建了一个仅用于API访问的用户，并使用这些凭据向CRM进行身份验证。虽然这不是我想要的，但它确实很好用。

我希望有人能证明我错了，但现在看来这不可能。