azure - 联合 Azure AD 时的角色声明

Question

我们希望使用基于声明的身份验证创建一个 MVC Web 应用程序，期望角色作为声明之一。我们希望使用 Azure 访问控制服务联合身份验证提供程序来管理此联合。我们的 Azure AD 是身份验证提供商之一。

问题是 Azure AD 似乎无法生成角色(甚至组)声明。管理 Azure AD 中的组或角色访问以及由 Azure 访问控制服务提供角色声明的适当方法是什么。

谢谢。

编辑:

之前的评论要求提供详细信息:我们希望使用第三方的事件目录向他们提供对我们的云应用程序的访问(以简化他们的用户管理)。我们的应用程序对第​​三方可以配置的信息有几个级别的访问权限。我们希望他们可以在他们的广告中做到这一点(根据我们的指示)。群组似乎是显而易见的选择，但如果有其他有效的方式，只要我们能够提供说明，它就会有效。

我们希望我们的应用程序能够获得用户访问级别的声明。如果我们只有一个使用 Azure AD 的合作伙伴，我们可以针对该端点使用图形 API，但随着时间的推移，多个合作伙伴会发生变化，我们希望将它们联合起来，这样我们的应用程序只需要信任联合服务器。我们假设需要 Azure ACS 来管理联合。

Answer 1

AAD 确实支持角色/组，您可以从 Azure 门户管理它们。

但是，这些并未在“ jar 装”声明集中传递。

您需要使用 Graph API，然后将它们转换为Windows Azure Active Directory: Converting group memberships to role claims .

更新:

ACS 需要一些东西来联合。您无法将客户 AD 连接到 ACS - 您需要在其 AD 之上添加类似 ADFS 的东西。

我假设你的云应用程序。在 Azure 中运行？

然后制作您的应用程序。 Multi-Tenancy 。如果您的客户有自己的 Azure 租户，那么它就可以工作。您只需将 Graph API 代码添加到您的应用程序即可。不需要 ACS。

然后您的客户运行 DirSync。这使他们的 Azure 租户保持同步。随着他们的 AD 更改。

有两个选择:

• 客户没有 Azure 租户。他们安装 ADFS 并与 AAD 联合。

• 拥有 Azure 租户的客户使用 DirSync。