Azure 移动应用服务 - Cordova，带有 C# 后端，使用 Azure AD。如何检查角色？

Question

我已使 Azure 身份验证正常工作，并且可以使用 [Authorize] 属性 like in the documentation 限制对控制器的访问。到目前为止，我喜欢它。

但是，我将需要一些具有提升权限的用户，我们通常会使用 AD 安全组。 “太好了！”，我想，“我就用[Authorize(Roles = "AD Security Group"]”然后我就可以重新开始开发应用程序了！

好吧，我错了。两天后，我刚刚转了一圈。我得出的结论是 AAD 没有提供角色声明，因此 ClaimsPrincipal 不包含角色，因此无法向授权属性提供信息。

我看到了很多关于这方面的旧信息（Azure 移动应用程序是相当新的），而且它使水变得相当混乱。当前的解决方案是查询 AD Graph API 以获取角色信息吗？

或者，也许，编写一个自定义属性来调用/.auth/me 端点来获取角色信息？

我很困惑！有人能指出我正确的方向吗？

Answer 1

您需要做一些工作才能让 AAD 组加入声明。我wrote a blog 关于这个。虽然在Node中实现了授权，但是AAD端的配置是一样的。

在将其放入授权角色方面，Azure 移动应用服务器 SDK 目前不会为您执行此操作。 （我认为这是个好主意，所以请随时在our GitHub repository 上提出问题）

如果您自己编写属性，我会使用 GetAppServiceIdentityAsync<>() 方法来获取声明 - 不要自己查询 /.auth/me。