пересылка аутентификации веб-приложения в службу API

Я бы предложил использовать OAuth2.0 от имени потока. В соответствии с вашим требованием вы хотите аутентифицировать пользователя в веб-приложении и создать токен для веб-API и вызвать веб-API из контроллера веб-приложения.

Сначала создайте 2 принципала службы, один для веб-приложения, а второй - для веб-API. Затем перейдите к субъекту службы веб-приложений -> раздел разрешений, добавьте веб-API (субъект службы) и предоставьте разрешение.

После создания субъектов-служб вам необходимо использовать поток OAuth 2.0 от имени в контроллере веб-приложений. После запуска веб-приложения вам необходимо аутентифицировать пользователя с помощью имени пользователя и пароля, после аутентификации пользователя вы можете получить access_token с помощью HttpContext в методе действия вашего контроллера, а затем использовать поток потока от имени, чтобы получить другой токен для web api и вызовите web api для доступа к ресурсу.

Вы можете проверить приведенную ниже документацию для потока от имени потока: OAuth2.0 от имени потока

В веб-приложении -> HomeController.cs -> Метод Index () получает текущий токен (при первом входе в систему вы получаете токен доступа), используйте этот токен для создания другого токена для веб-API.

Ниже приведен код для потока от имени потока:

 private async Task<string> GetOnBehalfToken()
    {
        // Get User Assertion
        var authenticateInfo = await HttpContext.Authentication.GetAuthenticateInfoAsync("Bearer");
        string incomingToken = authenticateInfo.Properties.Items[".Token.access_token"];
        UserAssertion userAssertion = new UserAssertion(incomingClientToken, "urn:ietf:params:oauth:grant-type:jwt-bearer");

        string token = string.Empty;
        string authString = string.Format(this.azureAd.AadInstance, this.azureAd.TenantId);
        AuthenticationContext authenticationContext = new AuthenticationContext(authString, false);

        // config for oauth client credentials
        // Use Web app client id and secret key
        ClientCredential clientCredential = new ClientCredential(this.azureAd.ClientId, this.azureAd.AppKey);

        // App ID uri of web api service principal
        var resource = "https://<tenant>.onmicrosoft.com/45854ee0-608a-4dff-xxx-xxxxxxxxxxx";

        AuthenticationResult result = await authenticationContext.AcquireTokenAsync(resource, clientCredential);
        return result.AccessToken;
    }

Как только вы получите токен для веб-api, добавьте его в заголовок авторизации http-клиента и вызовите api.

Если вы хотите только аутентифицировать свой веб-API с помощью Azure AD. Используйте приведенный ниже код при запуске и посмотрите, работает ли он для вас:

public static void ConfigureAuthentication(IAppBuilder app)
    {
        app.UseWindowsAzureActiveDirectoryBearerAuthentication(
           new WindowsAzureActiveDirectoryBearerAuthenticationOptions
           {
               Tenant = Configuration["AzureAD.TenantId"],
               TokenValidationParameters = new TokenValidationParameters()
               {
                   ValidateIssuer = true,
                   ValidIssuer = Configuration["AzureAD.Issuer"],
                   ValidAudience = Configuration["AzureAD.Audience"],
                   ValidateLifetime = true
               }
           });

        app.UseJwtBearerAuthentication(
            new JwtBearerAuthenticationOptions
            {
                AuthenticationMode = AuthenticationMode.Active,
                TokenValidationParameters = new TokenValidationParameters()
                {
                    ValidateIssuer = true,
                    ValidIssuer = Configuration["AzureAD.Issuer"],
                    ValidAudience = Configuration["AzureAD.Audience"],
                    ValidateLifetime = true
                }
            });
    }

Также убедитесь, что значения Issuer ({tenant-name} .onmicrosoft.com) и Audience (идентификатор приложения для субъекта-службы) должны быть правильными.

Надеюсь, это решит вашу проблему.