c# - Azure AD 应用程序 - 需要角色分配 + 为应用程序添加角色分配？

Question

我有一个 MVC Web 应用程序(WebAPI + Angular)作为 Web 应用程序(不是 API 应用程序)部署到 Azure，该应用程序设置为使用“设置”->“身份验证/授权”->“AAD”->“Express”进行保护。这将创建一个与 Web 应用程序同名的 AD 应用程序，并且作为普通 Web 用户(在目录中，使用 OAuth)，这将按预期工作。

但我也有需要直接调用 WebAPI Controller 的外部自动化，因此我需要以编程方式获取承载 token 来传递这些请求。

当“访问应用程序需要用户分配”==否时，一切正常。但这还不够，因为目录中的每个人都不应有权访问此应用程序。

翻转该开关会导致错误:

Application 'AppId' is not assigned to a role for the application 'AppId'.

正在使用的代码:

    var aadLoginUri = "http://login.microsoftonline.com/{0}";
    var tenantId = "[xxx].onmicrosoft.com";
    var authority = String.Format(CultureInfo.InvariantCulture, aadLoginUri, tenantId);
    var clientId = ConfigurationManager.AppSettings["ClientId"];
    var clientSecret = ConfigurationManager.AppSettings["ClientSecret"];

    var authContext = new AuthenticationContext(authority);
    ClientCredential clientCredential = new ClientCredential(clientId, clientSecret);
    AuthenticationResult authResult = authContext.AcquireToken(clientId, clientCredential);

如何为应用程序添加角色分配？
(与用户相反)

我尝试利用“对其他应用程序的权限”部分，但应用程序无法添加到自身。为了看看这是否可以解决另一个应用程序的问题，我继续创建了一个应用程序，并且能够添加该应用程序并将委托(delegate)权限设置为“访问[应用程序名称]”。但与以前一样，这仅在不需要用户分配即可访问应用程序的情况下才有效。之后 AcquireToken() 抛出相同的异常。

好像是这个问题could be solved通过将我们的 API 与 Angular 应用程序解耦，将 API 作为 API 应用程序(带有网关)托管，但目前这不是一个选择。另外this article说这个新的身份验证功能“取代了大多数应用程序的应用服务网关”和 this blog post在 11 月宣布该功能时说“我们建议 Web 和移动应用程序使用此功能，而不是 future 的应用服务网关”，所以我想知道这是否还没有进入 UI，也许有可能通过应用程序 list (尝试过，失败)、graph/service-mgmt api、powershell 等添加应用程序角色分配。

Answer 1

关键是在 list 中定义正确的 appRoles(使用正确的 allowedMemberType)。

在 Azure 门户中，配置以下内容:

在需要访问的资源中，打开 list (“应用注册”边栏选项卡)。在 appRoles 数组中，添加两个角色:

• allowedMemberType“Application”之一
• allowedMemberType“User”之一

保存 list 。

接下来，在需要访问资源的客户端应用中:

• 浏览至“所需权限”并点击“添加”
• 搜索您要访问的资源
• 在“启用访问”部分的“应用程序权限”下，选择您刚刚配置的角色
• 保存并点击“授予权限”

配置用户权限:

• 浏览至“企业应用程序”边栏选项卡
• 选择“所有应用程序”，然后选择正确的应用
• 点击“用户和群组”
• 为用户分配角色

在“属性”部分中，保留“需要用户分配吗？”复选框已启用。这将仅限制对已配置用户的访问。

现在您可以作为用户和应用程序访问资源。