.net-core - .net 核心 API 中的混合身份验证

Question

我正在构建一个 Multi-Tenancy Service Fabric 应用程序，它允许租户指定登录类型 - Identity(asp.net)/Azure AD。

我有一个身份验证服务，它检查用户链接到哪个租户，然后继续检查用户的用户名:密码是否有效，如果有效，它会向网关 API/Web API 返回一个 JWT token ，然后允许访问集群上的其余服务。

这进一步受到角色的保护，以限制操作和数据访问等。

问题 1如果租户使用 Azure AD，保存该租户提供的应用程序 ID 和 secret 的安全方法是什么？在我的数据库中加密信息，它必须被解密才能连接到 AD(试图保持动态)。

问题 2我正在实现自己的滑动刷新 token 以在其过期后获取新的 JWT，是否有更好/标准的方法？

问题 3是否有更好/标准的方法来处理此 Multi-Tenancy 登录过程。

问题 4有没有一种方法可以在 JWT 主题上设置可选声明，如果声明值不正确，将允许访问共享服务但阻止访问租户特定服务？

编辑理想情况下，角色不应该是租户 AD/B2C 的一部分，因为它们的角色是动态的，并且在应用程序内部进行管理。

Answer 1

与其构建自己的 STS 逻辑，不如查看 IdentityServer ，一种流行且出色的 OSS 工具。

例如，看看here对于使用 asp.net 核心的 Multi-Tenancy 示例。

它支持通过实现 Profile Service 向 token 添加自定义声明。 .服务可以配置为使用 authorization 的声明.

This blog post也可能有用。