azure - 将AD用户组与后端服务同步

Question

我不确定这个问题是否足以描述我想要完成的任务，所以让我尝试详细说明。因为即使我也不知道如何正确设置问题。因此，我将详细介绍我正在尝试做的事情的总体情况。

我正在构建一个使用 AWS Cognito 进行用户身份验证和授权的应用程序。但授权部分并不是通过 Cognito 直接完成的(稍后会详细介绍)

在 Cognito 中，我通过 OIDC 添加了 Azure AD 作为第三方身份提供商。我还有后端服务，它将在自己的数据库中保存用户的角色。现在，对于要通过 AD 添加到用户池的用户，我需要将其组复制到 AD 作为我的服务数据库中的角色。 (因此，如果我在 AD 中有一个用户属于 ADMIN 组的一部分，我需要获取该组并将其作为该特定用户的角色放入我自己的数据库中)。

现在的想法是使用 MS Graph 将组与我的服务中的角色同步。但关键是，我需要有权在 AD 中查看该信息的 AD 用户的凭据。这并不是我真正想要实现的目标。

我的猜测是，这可以在一次全部场景中完成(这需要 AD 凭据中的“GODs”用户，这不是一个选项)，或者一一完成(因为他们通过 AD 作为 Idp 登录到 Cognito )。

总而言之，我的问题是，当用户使用其广告(微软)凭据登录时，我是否可以集成对 MS Graph 的调用，这样当他尝试登录时，我可以获取有关他的组的信息Cognito 用户池？

我知道这可能很不清楚，但我不太确定如何用简单的方式表达它。

如果有人能帮助我，我将不胜感激。

谢谢

Answer 1

您不需要将调用集成到 MS Graph。

只需按照指示将群组声明包含在您的 token 中 here 。您只需修改应用程序 list 中的“groupMembershipClaims”字段即可:

"groupMembershipClaims": "SecurityGroup"

然后 token 将包含该用户所属组的 ID，如下所示:

{
  "groups": ["{group id}"]
}