gpt4 book ai didi

azure - 在 AAD 访问 token 的组声明中,为什么我得到的 GUID 不是 AAD 租户中任何组的 objectId?

转载 作者:行者123 更新时间:2023-12-01 15:22:50 24 4
gpt4 key购买 nike

使用 Node.js 的 Microsoft MSAL 快速入门的修改版本(原始 here ),我使用隐式流成功接收了 Azure 存储 API 的访问 token 。该 token 包含组声明,但声明中的 GUID 之一似乎与租户中的任何组都不相关。从每个组中删除用户后,声明仍包含该 GUID(并且按预期不再包含其他 GUID):

  "groups": [
"2cb3a5e8-4606-4407-9a97-616246393b5d"
],

Google 搜索该 GUID 没有找到任何结果,因此我假设它不是某种众所周知的 GUID。

为什么我在团体声明中得到这个“未知”GUID?

涉及的AAD租户是一个非常小的租户,专门用于我学习AAD和身份验证。因此,它只包含一个组。涉及的用户不是该组的成员。

我查看了 Azure 门户中的用户页面,它确实显示该用户“不是任何组的成员”。 Azure CLI 还显示用户不是任何组的成员:

$ az ad user get-member-groups --upn <a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="1c76696e7679725c6f68696c79727873696f32736e7b" rel="noreferrer noopener nofollow">[email protected]</a>
[]
$

此租户中的组的完整列表仅包含一个组,并且如您所见,其 ObjectID 与我在声明中获得的 GUID 不匹配:

$ az ad group list --query [].objectId --output tsv
b1cc46de-8ce9-4395-9c7c-e4e90b3c0036
$

我还创建了另一个应用程序注册并让它公开一个虚拟 API。当使用该虚拟 API 作为范围时,我再次成功接收访问 token ,但该 token 再次包含与单个组声明相同的未知 GUID。

以下是代码中希望相关的部分。

如上所述,首先我检索了 Azure 存储的访问 token :

        var requestObj = {
scopes: ["https://storage.azure.com/user_impersonation"]
};

...但我使用虚拟 API 得到了完全相同的结果:

        var requestObj = {
scopes: ["api://7c7f72e9-d63e-44b6-badb-dd0e43df4cb1/user_impersonation"]
};

此位使用户登录:

        function signIn() {
myMSALObj.loginPopup(requestObj).then(function (loginResponse) {
//Successful login
showWelcomeMessage();
acquireTokenPopup();
}).catch(function (error) {
//Please check the console for errors
console.log(error);
});
}

token 是在此处获取的。我知道考虑到 token 的范围,callMSGraph 在这里不起作用。我从浏览器控制台日志中获取 token 并使用 jwt.ms 对其进行解码。

        function acquireTokenPopup() {
//Always start with acquireTokenSilent to obtain a token in the signed in user from cache
myMSALObj.acquireTokenSilent(requestObj).then(function (tokenResponse) {
console.log("Access Token from cache: " + JSON.stringify(tokenResponse.accessToken));
callMSGraph(graphConfig.graphMeEndpoint, tokenResponse.accessToken, graphAPICallback);
}).catch(function (error) {
console.log(error);
// Upon acquireTokenSilent failure (due to consent or interaction or login required ONLY)
// Call acquireTokenPopup(popup window)
if (requiresInteraction(error.errorCode)) {
myMSALObj.acquireTokenPopup(requestObj).then(function (tokenResponse) {
console.log("Access Token after interaction: " + JSON.stringify(tokenResponse.accessToken));
callMSGraph(graphConfig.graphMeEndpoint, tokenResponse.accessToken, graphAPICallback);
}).catch(function (error) {
console.log(error);
});
}
});
}

最佳答案

您还将获得组中的目录角色 ID(从访问 token 获得)。您可以请求https://graph.microsoft.com/v1.0/me/memberOf查看详细信息。 Here是图形浏览器。

enter image description here

关于azure - 在 AAD 访问 token 的组声明中,为什么我得到的 GUID 不是 AAD 租户中任何组的 objectId?,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/56207286/

24 4 0
Copyright 2021 - 2024 cfsdn All Rights Reserved 蜀ICP备2022000587号
广告合作:1813099741@qq.com 6ren.com