使用资源所有者密码凭据流的AD B2C非交互式/无头身份验证

Question

我正在使用Azure AD B2C服务进行身份验证。我有一个用例，其中用户认证必须在non-interactive / headless manner中进行。 我需要将用户名和密码发送到AD B2C using Graph API以验证用户并获得id token和access token。

在limitations下的AD B2C文档中，它说不支持上述用例，而是可以使用客户端凭据流来实现该用例。

但是，我尝试使用resource owner password credentials flow来实现此用例。它对我有用。

这种方法是否建议实现非交互式/无头认证用户流程？

更新：

我有一个受AD B2C保护的Web API，这些API从Web应用程序以及外部应用程序（可以是桌面应用程序，另一个Web API）中使用。

对于Web应用程序，我们可以使用交互式AD B2C登录流程进行身份验证。

对于外部应用程序（可以是桌面应用程序，另一个Web API），我们需要以非交互/无头方式进行身份验证。为此，我们可以使用ROPC流吗？

Answer 1

该限制专门针对无头/长时间运行的应用程序。您指的是用户身份验证，因此我们仅支持ROPC flow for Native Apps。 ROPC不适用于Web Apps。对于Web Apps，您必须使用交互式身份验证。