如何检查调用者是 WebAPI 层中 AD 安全组的一部分？

Question

我有一个网站 (WebApp)，我从该网站对接受 JWT Bearer Token 身份验证的 WebAPI 层进行 Ajax 调用。我已将 Adal.js 集成到我的前端脚本层中，配置值如下所示。

var config = {
instance: "https://login.microsoftonline.com/",
tenant: "tenant.com",
clientId: "CLIENT_ID OF THE PORTAL APP", // Web-Portal app
redirectUri: "http://localhost:8241/",
popUp: true,
cacheLocation: "localStorage" };

WebApiConfig 如下所示：

var webApiConfig = {
    resourceId: "CLIENT_ID OF API APP", // Web-API app
    resourceBaseAddress: "http://localhost:9020/"
};

一切正常，我能够通过隐式 oauth 流通过访问令牌进行身份验证/授权和调用我的 webapi。

现在我希望能够检索登录用户的用户安全组成员资格值，以便 在 WebAPI 层，我可以确保用户属于特定的安全组授权逻辑的一部分。因此，我在 Azure AD 的应用程序清单 xml 中设置了 GroupMembershipClaims: "SecurityGroup"（我首先为 WebApi 应用程序清单执行此操作，然后也在 WebApp 应用程序清单中执行此操作）。

但是，GroupMembershipClaims 似乎只包含在 idtoken 中，不 包含在 accessToken 中。鉴于它是发送到 WebAPI 的 accessToken，我无法在该层进行此检查。我想我可以在 WebApp 层进行检查，但鉴于此 WebApi 层将从许多其他前端应用程序（不属于我所有，我主要是“API 提供者”）调用，这不是一个安全的解决方案。

那么我该如何解决呢？我想一种方法是使用 WebApi 层上的“代表”流来调用 Graph API 来找出答案？恐怕这将需要比用户范围内更多的权限。

谢谢！

Answer 1

这是个好问题。

我的第一个想法是“你可以从 Graph API 获取它们”，但我看到你已经想到了 :)

如果你想这样做，你可以像你说的那样使用 On-behalf-of，并在 MS Graph API 上使用这个操作：https://developer.microsoft.com/en-us/graph/docs/api-reference/beta/api/user_getmembergroups。 您将需要这些委派权限：User.Read 和 Group.Read.All。 因此，除了基本的 User.Read 之外，您还需要读取所有组的权限。

还有其他几个选项。

您可以在 API 中定义角色。 我写了一篇关于如何做到这一点的文章：Defining permission scopes and roles offered by an app in Azure AD。 因此，如果您在 API 的清单中定义这样的角色：

{
  "appRoles": [
    {
      "allowedMemberTypes": [
        "User"
      ],
      "displayName": "Administrator",
      "id": "179c1dc0-4801-46f3-bc0d-35f059da1415",
      "isEnabled": true,
      "description": "Administrators can access advanced features.",
      "value": "admin"
    }
  ]
}

您需要将 id 设置为每个角色的唯一 GUID，您可以使用在线生成器或 PowerShell 为该[System.Guid]::NewGuid()。

然后可以将这些角色分配给用户，如果您至少有 Azure AD Basic，则可以将它们分配给组。 角色包含在访问令牌中，因此您可以在 API 中轻松检查这些。

我的另一个想法是让 API 和前端在 Azure AD 中使用相同的注册应用。 这样，您可以将 Id 令牌而不是访问令牌传递给 API，并且您将获得组。 但由于您可能还有其他前端，我怀疑这是否适合您。