Azure Active Directory token 在 JWT 中缺少应用程序角色

Question

我在 Active Directory 应用程序注册中注册了两个应用程序:一个客户端和一个 API。通过“公开 API” Blade ，客户端应用程序已受到 API 应用程序的信任。我还向 API 应用程序添加了 4 个应用程序角色( list 中的 IE allowedMemberTypes: ["Application"])，并将它们添加为客户端应用程序的权限。

当我通过客户端凭证流获取客户端应用程序的 appid 的访问 token ，并通过 jwt.io 解码 token 以查看声明时，我可以很好地看到分配给客户端应用程序的角色，全部都在一个漂亮整齐的数组。

但是，使用身份验证流并以我自己的身份登录(属于目录)，使用相同的 secret 、范围、客户端 ID 等，随该流发送回的 token 中缺少应用程序角色，它既不在 id token 中，也不在 auth token 中。

我在这里缺少什么？是我忘记了一个步骤，还是授权流程不支持应用程序成员权限？

Answer 1

作为official documentation说:

You can define app roles to target users, applications, or both. When available to applications, app roles appear as application permissions in the Required Permissions blade.

而且，一旦您在应用程序中添加了应用程序角色(在 allowedMemberTypes 中使用“用户”)，您就可以 assign users and groups to these roles在企业应用程序中。

如果一个用户被分配了任何角色，您可以在他的 id token 中获取角色信息。