使用 SAML 的 Azure AD 用户角色声明

Question

我有一个应用程序想要使用 SAML 连接到 Azure AD，以便在用户登录时获取用户角色。我已在我的 Azure 帐户中创建了一个应用程序并将其连接到我的 SSO。当我测试连接时，我可以看到默认声明，一切正常。我已通过 Azure 门户 -> 企业应用程序 -> myApp -> SSO -> 用户属性和声明添加了声明 user.signedroles，但我没有看到该声明。然后我将声明更改为 user.city，我可以看到为我测试过的用户定义的城市。然后我再次将其更改回 user.assignedroles 并且声明没有更新(仍然显示用户的城市)。

如何将 Azure AD 中定义的用户角色添加到 SAML 声明中？

Answer 1

将角色分配给用户后，您需要在“用户属性”对话框的“用户声明”部分中添加 SAML token 属性:

Attribute name  Attribute value 
Role name   user.assignedroles

如果角色声明值为 null，则 Azure AD 将不会在 token 中发送该值。 https://learn.microsoft.com/en-us/azure/active-directory/develop/active-directory-enterprise-app-role-management

您可以在 Microsoft Graph Explorer 中检查它:

https://graph.microsoft.com/beta/servicePrincipals/{Object ID of your Enterprise App}

如果“value”的值为 null，则 Azure AD 不会在 token 中发送该值。