azure - Azure AD 将组声明应用于 ClaimsPrincipal 的顺序可靠吗？

Question

我有一个具有多个部门级别的应用程序。用户是代表部门的 AD 组的成员。然后，该组是代表上级部门的另一个组的成员，依此类推，通过多个级别。

我需要知道整个传递组成员资格链，但我还需要知道用户是哪个组的直接(不传递)成员。

使用 json list 的 groupMembershipClaims 属性(如详细描述 here )，我可以在经过身份验证的 ClaimsPrincipal 上获得组声明，而无需额外调用 Graph API:

http://schemas.microsoft.com/ws/2008/06/identity/claims/groups : {guid-a}
http://schemas.microsoft.com/ws/2008/06/identity/claims/groups : {guid-b}
...

到目前为止，在我们所有的测试中，第一个组 {guid-a} 始终是我的用户直接成员的内代组，后续组始终按升序排列。

我的问题:这个订单可靠吗？如果没有，是否有其他方法可以在不调用 Graph API 的情况下识别我的用户是哪个组的直接成员？

Answer 1

您可以使用用户的 memberOf 属性来仅获取该用户是其直接成员的组。这是最新的 Azure AD Graph REST API documentation 的屏幕截图.

至于声明的顺序，我建议不要编写任何依赖于特定顺序的声明的代码。