将声明添加到令牌 Azure B2C

Question

如果声明存储在自己的服务器上的某个位置（在 B2C 中不可用），在令牌中发布令牌之前，有哪些方法可以在令牌中包含自定义声明（例如用户订阅或角色列表）？ 目标是在令牌中声明，以避免在每次请求时额外往返存储。

对该主题的调查使我想到了以下几种方式：

1. 通过 Graph API 添加自定义属性，配置为包含在 JWT 中。属性值应与我们的数据存储保持同步。

2. 自定义登录策略，如本文https://docs.microsoft.com/en-us/azure/active-directory-b2c/active-directory-b2c-rest-api-step-custom，但如果我做对了，额外的第 6 步是以非受限方式访问公开可用 API 的用户旅程（请求不受秘密保护，可能会被使用通过提供的 UserId 获取用户声明）？

3. IdentityServer4 联合网关 http://docs.identityserver.io/en/release/topics/federation_gateway.html 将允许在发布之前添加任何声明。

Answer 1

您概述的前两种机制是在 Azure AD B2C 颁发的令牌中包含自定义声明的最常见和推荐的方法：

1. 添加custom attribute 和include it in the JWT。您可以启用自定义属性via the B2C UI 或via the Graph API。您需要构建自己的机制，以使 B2C 中此属性的值与您的外部源 via the Graph API 保持同步。

2. 您可以使用custom policy 到add a step in your authentication flow to call a Rest API to obtain the claim and include it in the token。对 Rest API 的调用将由 Azure AD B2C 服务而不是用户的浏览器执行，因此它将是服务到服务调用（相对于客户端到服务调用），保留您使用的任何机密使用您的 Rest API 安全（例如 Azure 函数代码）进行身份验证。