.net - 获取声明中 Azure AD 用户所属组的列表

Question

我正在根据 Azure Active Directory 对我的 Web api 用户进行身份验证。现在我想获取该用户所属组的列表。

我更改了应用程序 list 以包含

"groupMembershipClaims": "All",

但这只是添加声明 hasGroups 但没有组名称。

我在门户中为我的应用程序授予了 Windows Azure Active Directory 的所有 (8) 委派权限。

Answer 1

我就是这么做的。

我们将我的 Azure AD 应用程序命名为“AD-App”。

AD 应用

对其他应用程序的权限设置为；

Windows Azure 事件目录。

应用程序权限:0。

委派权限 2(“读取目录数据”、“登录并读取用户个人资料”。

list 具有以下设置:

“groupMembershipClaims”:“安全组”

后端API

以下是我返回用户组的方法。您可以发送用户 ID，如果没有，则使用声明中的 ID。 Id 意思是“objectIdentifier”。

        public static IEnumerable<string> GetGroupMembershipsByObjectId(string id = null)
    {
        if (string.IsNullOrEmpty(id))
            id = ClaimsPrincipal.Current.FindFirst("http://schemas.microsoft.com/identity/claims/objectidentifier").Value;

        IList<string> groupMembership = new List<string>();
        try
        {
            ActiveDirectoryClient activeDirectoryClient = ActiveDirectoryClient;
            IUser user = activeDirectoryClient.Users.Where(u => u.ObjectId == id).ExecuteSingleAsync().Result;
            var userFetcher = (IUserFetcher)user;

            IPagedCollection<IDirectoryObject> pagedCollection = userFetcher.MemberOf.ExecuteAsync().Result;
            do
            {
                List<IDirectoryObject> directoryObjects = pagedCollection.CurrentPage.ToList();
                foreach (IDirectoryObject directoryObject in directoryObjects)
                {
                    if (directoryObject is Group)
                    {
                        var group = directoryObject as Group;
                        groupMembership.Add(group.DisplayName);
                    }
                }
                pagedCollection = pagedCollection.GetNextPageAsync().Result;
            } while (pagedCollection != null);

        }
        catch (Exception e)
        {
            ExceptionHandler.HandleException(e);
            throw e;
        }

        return groupMembership;
    }

我无法告诉您这是否是通过最佳实践完成的，但它对我有用。