基于 Azure 角色 - 使用相同应用角色的 Web 和 API

Question

我有以下情况。一个 net core 网站和一个 net core web api。网站需要调用api。我正在使用 Azure AD 保护这两个站点。我可以对用户进行身份验证并使用 jwt 令牌调用 api。我想用appRoles来控制对网站页面的访问和api的方法。

我可以编辑网站的清单并添加我想要使用的 appRoles。在企业应用程序-> 用户和组中，我可以将用户添加到角色中。因此，之后我可以使用 [Authorize(Roles = "AdminMember")]

之类的方法保护我的网页

我可以用 API 做同样的事情。

两个应用程序使用相同的角色和相同的用户，所以我的问题是：

是否可以只配置一次 appRoles？如果我有很多用户，我需要在两个企业应用程序中进行配置。如果我删除或更改某些内容，我需要在两个应用程序中执行相同的操作。 我可以以某种方式在其他应用程序中使用 API 或网站中定义的角色吗？

有没有什么方法可以有一个中心点来配置角色？

谢谢！

Answer 1

在 Azure AD 中，组相当于角色。因此，您创建组，然后将所需的用户添加到该组。因此，当这些用户通过身份验证时，他们的令牌将具有声明，这些声明将包含他们所属的组信息。因此，是的，您可以对在该 Azure AD 实例中注册的所有应用程序使用相同的组。

所以它的工作方式如下：

在您的应用注册清单文件中，您设置了“groupMembershipClaims”：“SecurityGroup”。在您的 .net 核心 API 中，您可以这样做

services.AddAuthorization( options => {
      options.AddPolicy("admin-only", p => {
            p.RequireClaim("groups","id of your admin group");    
      });
});

在你的控制器动作中你做

[Authorize("admin-only")]

如果用户被添加到管理员组并尝试访问上述操作，它将成功，否则用户将被拒绝。希望对您有所帮助。