使用客户端凭据流，生成访问令牌，而无需从同一租户内的任何应用程序进行委托访问

Question

我正在设置一个后台进程，该进程将与Azure AD保护的API进行通信。在不授予代理访问API的情况下，Client App能够生成访问令牌

使用客户端凭据流，是否可以为web api生成访问令牌而不授予委托权限。我能够生成它，但根据它不应该发生。在我的租户中创建的任何应用都可以在没有委托权限的情况下为web api生成令牌。

我在github上跟随下面的示例。 https://github.com/Azure-Samples/active-directory-dotnet-daemon

如果没有提供委托访问，它应该不能生成访问令牌。

Answer 1

这个是正常的。如果您正在使用客户端凭据流，即使您的客户端应用程序没有应用程序权限和委派权限，它也可以生成访问令牌。但是您无法使用此令牌来调用api，因为令牌在其声明中没有权限。您可以在https://jwt.io/中解码令牌，然后您可以看到如下权限。

更新：

如果要检查委派的权限，则需要使用ropc流。检查响应中的scope，它们是委派的权限。