asp.net - Azure Active Directory 分配的用户被忽略

Question

我已按照 https://github.com/AzureADSamples/WebApp-OpenIDConnect-DotNet 中的指南将 Azure 身份验证添加到我的 ASP MVC 应用程序中。它的作用是将访问限制为仅在域中拥有帐户的用户。非用户将被拒绝。

但是，Azure 管理站点中有一个设置允许您将用户分配给应用程序。此设置似乎没有执行任何操作。域中的所有用户都可以访问站点，即使他们没有分配给该应用程序。

我正在寻找一种方法来选择允许哪些用户访问可以在 Azure 域级别管理的网站。

任何帮助将不胜感激...

Answer 1

确实有点困惑。将用户分配给应用程序的操作会导致应用程序图标(带有 Logo )出现在用户的访问面板 (myapps.microsoft.com) 中，用户可以从这里轻松登录到应用程序。对于某些预先集成的应用程序(例如 salesforce 和 box)，还会在应用程序中创建用户配置文件。

但是，对于传统的单租户和 Multi-Tenancy 应用程序，分配用户的行为并不会阻止未分配的用户获取应用程序的 token 。这是我们计划在未来版本中向应用程序管理员提供的内容(作为配置选项)。

但是，为了满足您当前的需求，您可以(代表用户)查询目录中分配给您的应用程序的所有用户和组，也可以查询(代表用户)分配的所有应用程序使用以下 API 向用户提供:

查询分配给应用程序的所有用户和组:

HTTP GET https://graph.windows.net/7fe877e6-a150-4992-bbfe-f517e304dfa0/servicePrincipals/7758ff7a-9c65-4779-af33-f2c2f35aec2
0/appRoleAssignedTo?api-version=1.5

其中 7fe877e6-a150-4992-bbfe-f517e304dfa0 是目录的tenantId(这也可以是目录的域名)，7758ff7a-9c65-4779-af33-f2c2f35aec2 是代表服务主体的objectId该目录中的应用程序。

查询分配给用户的所有应用程序:

HTTP GET https://graph.windows.net/7fe877e6-a150-4992-bbfe-f517e304dfa0/users/3a477f6a-6739-4b93-84aa-3be3f8c8e7c2/appRoleAssignments?api-version=1.5

其中 7fe877e6-a150-4992-bbfe-f517e304dfa0 是目录的tenantId(也可以是目录的域名)，3a477f6a-6739-4b93-84aa-3be3f8c8e7c2 是用户对象的objectId。

我正在使用AADGraphPowerShell查询我的目录 - 这里是上述查询的结果:

希望这有帮助。