如何使用ADAL / OAuth向CRM Online进行身份验证并通过令牌请求数据？

我有多个CRM Online实例，这些实例由Microsoft托管在云中。
它们都由本身由ADFS管理的同一Azure Active Directory保护。
我的应用程序已在Azure AD中注册，因此具有客户端ID /密钥等以及CRM的权限。

我想通过Web API连接到CRM的特定实例以请求数据。
我可以通过使用CrmServiceClient包含用户名/密码的连接字符串来使其工作。
这似乎是通常记录的示例，但我不想这样做。以下MSDN文章使它看起来像我可以通过令牌来代替：https : //msdn.microsoft.com/en-us/library/gg327838.aspx

我可以成功获得这样的令牌（为了安全起见，我已经模糊了一些细节）：

var tenantName = @"myorg.onmicrosoft.com";
var authString = string.Format(@"https://login.microsoftonline.com/{0}", tenantName);

var authContext = new AuthenticationContext(authString, false);

// I am in the UK so use crm4
var resource = @"https://myorg.crm4.dynamics.com";
var clientId = @"899ac540-2134-1234-abcd-2d6440046630";
var key = @"nStbgtfe0oybU1P5+/FQ4wFn1oLTEDr5M7Kjrghf5yh=";
var clientCred = new ClientCredential(clientId, key);

var authResult = await authContext.AcquireTokenAsync(resource, clientCred);

通常，我会将此令牌作为身份验证标头传递给HttpRequest，但此博客上的选项3建议您可以改用OrganizationWebProxyClientSDK提供的类：http : //crmtipoftheday.com/2015/06/24/you-have -oauth-token-now-What /

var orgService = new OrganizationWebProxyClient(
    new Uri("https://myorg.api.crm4.dynamics.com/XRMServices/2011/Organization.svc"), false)
{
    HeaderToken = authResult.AccessToken,
    SdkClientVersion = "8"
};

最后，我需要添加对Microsoft提供的组织服务的服务引用：

https://myorg.api.crm4.dynamics.com/XRMServices/2011/Organization.svc?singleWSDL&sdkversion=8

这将在我的app.config中创建一个绑定：

<system.serviceModel>
  <bindings>
    <customBinding>
      <binding name="CustomBinding_IOrganizationService">
        <textMessageEncoding />
        <httpsTransport />
      </binding>
    </customBinding>
  </bindings>
  <client>
    <endpoint address="https://myorg.api.crm4.dynamics.com/XRMServices/2011/Organization.svc"
    binding="customBinding" bindingConfiguration="CustomBinding_IOrganizationService"
    contract="CRMOrgService.IOrganizationService" name="CustomBinding_IOrganizationService" />
  </client>
 </system.serviceModel>

然后，我可以将其分配给组织服务：

var binding = new CustomBinding("CustomBinding_IOrganizationService");
orgService.Endpoint.Binding = binding;

最后，我可以调用Web服务：

var contacts = orgService.RetrieveMultiple(new QueryExpression
{
    EntityName = "contact",
    ColumnSet = new ColumnSet("firstname", "lastname")
})
.Entities
.Select(item => item.ToEntity<Contact>());

但是，在调用组织服务时出现错误：

验证邮件的安全性时发生错误

我被认为是这个错误实际上会吞噬真正的错误（感谢Microsoft），所以我不知道真正的错误是什么。
在线上的许多文档都说客户端和服务器时间不同步，但我认为不是这样。我无法证明微软服务器的几点钟，但我的时钟绝对准确，并且在英国的正确时区内。

有人知道我在做什么错吗？
或者，有没有用户名/密码的身份验证方法吗？
还是我只是树错了树，毕竟我应该使用用户名/密码吗？