Многопользовательское приложение Azure ASP.Net-Core с авторизацией на предъявителя

Как настроить авторизацию на предъявителя для мультитенантного приложения?

Это одностраничное приложение. В приложении на сайте браузера используйте Adal.js для аутентификации пользователей. После аутентификации приложение отправляет запрос на сервер ASP.Net-Core с заголовком Authorization Bearer.

ASP.Net-Core использует Microsoft.AspNetCore.Authentication.JwtBearer проверить запрос. Вот стартап:

public class Startup
{
    public Startup(IConfiguration configuration)
    {
        Configuration = configuration;
    }

    public IConfiguration Configuration { get; }

    public void ConfigureServices(IServiceCollection services)
    {
        services.AddAuthentication(sharedOptions =>
        {
            sharedOptions.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
        })
        .AddAzureAdBearer(options => Configuration.Bind("AzureAd", options));

        // ... other ...
    }

    public void Configure(IApplicationBuilder app, IHostingEnvironment env)
    {
        app.UseAuthentication();

        // ... other ...
    }
}

Вот метод AddAzureAdBearer:

public static class AzureAdServiceCollectionExtensions
{
    public static AuthenticationBuilder AddAzureAdBearer(this AuthenticationBuilder builder)
        => builder.AddAzureAdBearer(_ => { });
    public static AuthenticationBuilder AddAzureAdBearer(this AuthenticationBuilder builder, Action<AzureAdOptions> configureOptions)
    {
        builder.Services.Configure(configureOptions);
        builder.Services.AddSingleton<IConfigureOptions<JwtBearerOptions>, ConfigureAzureOptions>();
        builder.AddJwtBearer();
        return builder;
    }
    private class ConfigureAzureOptions : IConfigureNamedOptions<JwtBearerOptions>
    {
        private readonly AzureAdOptions AzureOptions;
        public ConfigureAzureOptions(IOptions<AzureAdOptions> azureOptions)
        {
            AzureOptions = azureOptions.Value;
        }
        public void Configure(string name, JwtBearerOptions options)
        {
            options.Audience = AzureOptions.ClientId;

            // this works (specific TenantId)
            // options.Authority 
            //    = "https://login.microsoftonline.com/f8811864-6950-4347-af1c-9d22bb3d0615"
            // this did not work (common instead of specific TenantId)
            // options.Authority 
            //    = "https://login.microsoftonline.com/common";
            options.Authority = $"{AzureOptions.Instance}{AzureOptions.TenantId}";
        }
        public void Configure(JwtBearerOptions options)
        {
            Configure(Options.DefaultName, options);
        }
    }
 }

Для одного арендатора это работает должным образом, контроллер можно пометить атрибутом [Authorize].

[Route("api/[controller]")]
[Authorize]
public class CalendarController : Controller
{

Для мультитенантности я настроил Adal.js на общую конечную точку, и он работает (пользователь может успешно войти в систему). Но сервер ASP.Net-Core не может проверить заголовок Bearer, как для одного клиента

JwtBearerOptions.Authority = "https://login.microsoftonline.com/f8811864-6950-4347-af1c-9d22bb3d0615 "

Для мультитенанта я пытаюсь отправить

JwtBearerOptions.Authority = "https://login.microsoftonline.com/common"

Сервер ASP.Net-Core возвращает неавторизованный ответ.

ОБНОВИТЬ

Сообщение Общая конечная точка: ходит как арендатор, разговаривает как арендатор… но не является арендатором, опишите причину проблемы с общими полномочиями.

Вкратце: токен (который отправляется как заголовок носителя авторизации и должен быть проверен на стороне сервера) содержит строку «эмитента», например: https://sts.windows.net/<TENAT_ID>. <TENAT_ID> - будет реальная <TENAT_ID>, а не "обычная" строка.

Итак, когда заголовок носителя авторизации подтвержден, строка «эмитент» сравнивается с настроенными параметрами. Параметр авторизации.

Чтобы решить эту проблему, можно отключить проверку эмитента. И сделай сам:

    public void Configure(string name, JwtBearerOptions options)
    {
        options.Audience = AzureOptions.ClientId;

        options.TokenValidationParameters = new TokenValidationParameters{
            ValidateIssuer = false
        };
        options.Events = new JwtBearerEvents()
        {
            OnTokenValidated = (context) =>
            {
                if(!context.SecurityToken.Issuer.StartsWith("https://sts.windows.net/"))
                    throw new SecurityTokenValidationException();

                return Task.FromResult(0);
            }
        };

        options.Authority = $"{AzureOptions.Instance}{AzureOptions.TenantId}";
    }

Я не уверен, что это правильный способ проверить эмитента. Пожалуйста, дайте мне знать, правильно это или нет.