使用 SAML 的 Azure AD 用户角色声明

Question

我有一个应用程序，我想使用 SAML 连接到 Azure AD，这样我就可以在用户登录时获取他们的角色。 我在我的 Azure 帐户中创建了一个应用程序并将其连接到我的 SSO。当我测试连接时，我可以看到默认声明并且一切正常。我已通过 Azure 门户 -> 企业应用程序 -> myApp -> SSO -> 用户属性和声明添加了声明 user.assignedroles，但我没有看到声明。然后我将声明更改为 user.city，我可以看到为我测试过的用户定义的城市。然后我又把它改回 user.assignedroles 并且声明没有更新（仍然显示用户的城市）。

如何将 Azure AD 中定义的用户角色添加到 SAML 声明中？

Answer 1

将角色分配给用户后，您需要在“用户属性”对话框的“用户声明”部分中添加 SAML 令牌属性：

Attribute name  Attribute value 
Role name   user.assignedroles

如果角色声明值为 null，则 Azure AD 不会在令牌中发送此值。 https://docs.microsoft.com/en-us/azure/active-directory/develop/active-directory-enterprise-app-role-management

您可以在 Microsoft Graph Explorer 中查看：

https://graph.microsoft.com/beta/servicePrincipals/{Object ID of your Enterprise App}

如果“value”的值为 null，则 Azure AD 不会在令牌中发送此值。