Azure Web App Authentication using Azure AD – 如何获取用户组

Question

我们正在尝试使用来自 Azure Web 应用程序的内置身份验证。第一部分看起来如此简单和轻松，但在用户通过身份验证后，我们无法成功读取他们的组成员身份，以便我们的应用能够呈现正确的体验。

我们的工作

• Azure Web App – 身份验证 o 向 AAD 进行身份验证 - 使用“快速”设置进行配置
• 我们从标头中获取 X-MS-X-MS-TOKEN-AAD-ACCESS-TOKEN（和它的朋友），并且可以解码我们想要的声明（电子邮件地址）并在应用程序中使用它

我们无法弄清楚的：

• 如何使用这些标头从 Azure AD 请求他们的记录，以确定他们的组成员身份和未在令牌中传递的其他声明（出于安全原因）
• 如何（或是否？）刷新他们的令牌，以便他们在令牌到期时完成之前不会被踢出应用程序。标题中有一个 X-MS-TOKEN-AAD-REFRESH-TOKEN 可用。我们不知道 Azure Web App 身份验证是否会为我们处理刷新，或者我们是否必须自己处理它。

到目前为止，身份验证比我们一直在努力的“自己动手”要简单得多，所以我希望内置的 Azure Web 应用身份验证是一个简单的解决方案。

（Web 应用程序包含一个用 ColdFusion 编写的应用程序，部署在容器中的 Lucee 上。但我怀疑任何解决方案都可能是跨平台的。）

有什么建议吗？

Answer 1

您可以configure the Azure AD Application Registration for group attributes。修改应用清单中的“groupMembershipClaims”字段：

"groupMembershipClaims": "SecurityGroup"

然后令牌将包含使用所属组的 ID，如下所示：

{
  "groups": ["group id"]
}

您还可以使用 Microsoft Graph user: getMemberGroups 检查用户在之后用户通过身份验证后所属的组。

您可以使用 MSAL 方法 AcquireTokenSilentAsync 刷新令牌。有关详细信息，请参阅此answer。