Azure AD 不返回声明组

Question

我在 Azure AD 上注册了一个应用程序。该应用程序已配置为在 Azure 门户上的令牌配置部分包含组声明。当我访问应用程序，按照流程对 AzureAD 进行身份验证并访问控制器端点时，我看到用户属性的声明没有组。相反，我得到了一个属性，hasgroups，用 true 定义。

我被分配到 89 个组，我不知道组的数量是否有任何限制，因此 Azure 更改了声明（而不是每个组一个，它发出一个我告诉过的布尔值你）。

这种情况发生在组织租户身上。我已经在 Azure 上与我自己的租户进行了相同的测试，并且我正在获取这些组。但在我自己的租户中，我只被分配到 2 个组。这就是我在我的组织中突出显示我所属的组数量的原因。

Answer 1

由于令牌的大小限制，可以返回多少组。

您必须随时准备从 MS Graph API 查询用户组，例如与：

• 获取群成员：https://docs.microsoft.com/en-us/graph/api/group-list-members?view=graph-rest-1.0&tabs=http
• 获取用户组：https://docs.microsoft.com/en-us/graph/api/user-list-memberof?view=graph-rest-1.0&tabs=http
• 检查用户的组访问权限：https://docs.microsoft.com/en-us/graph/api/user-checkmembergroups?view=graph-rest-1.0&tabs=http

如果你得到了 hasgroups 声明，你需要查询组。