NameIdentifier 与 ObjectIdentifier

Question

我有一个使用 OpenIdConnect 和 Azure AD 作为 Office 365 身份提供程序的多租户 ASP.NET 应用程序。当用户通过身份验证时，我会在 ClaimsPrincipal.Current 中收到我的声明。

我想识别一个用户并将这个 id 引用存储在我的数据库中。我问了this question。 有人回复说

在尝试唯一标识用户时，[NameIdentifier] 应该是您的首选。

但似乎NameIdentifier 声称，http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier 取决于应用程序。准确地说，如果我在 Azure AD 中创建另一个应用程序，那么对于同一 real Office365 用户，NameIdentifier 将不一样。请记住，我们可能必须创建另一个 Azure AD 清单（因为我们可能需要其他范围）并且我们应该能够找到相同的最终用户。

同时，我评论了另一个声明：ObjectIdentifierhttp://schemas.microsoft.com/identity/claims/objectidentifier

似乎ObjectIdentifier 对于给定 Office 365 用户的所有受 Azure AD 保护的应用程序都是相同的。

您能否准确解释这两种说法之间的区别？更重要的是，您能否确认 ObjectIdentifier 可以用作任何 Office 365 订阅中用户的“通用”标识符。

Answer 1

确切地说，如果我在 Azure AD 中创建另一个应用程序，那么对于同一个真实 Office365 用户，NameIdentifier 将不一样。

我做了如下快速测试：

在 AD Contoso 中注册多租户 Web 应用和单租户 Web 应用。

使用 user1@contoso.onmicrosoft.com 登录并获取两个 Web 应用程序中的名称标识符，结果发现 两个应用程序中的名称标识符相同。所以名称标识符应该能够跨应用识别用户，但不能用于在Azure AD中识别用户。

对于对象标识符，它是一个 GUID，可用于识别 Azure AD 中的用户。例如，您可以使用对象标识符在 Azure AD 中查询用户。

Powershell：

$msolcred = get-credential
connect-msolservice -credential $msolcred
get-msoluser -ObjectId "{guid:object_identifier}"  

更重要的是，您能否确认 ObjectIdentifier 可用作任何 Office 365 订阅中用户的“通用”标识符。

根据我的理解，对象标识符是一个 GUID，可以识别 Office 365 订阅中的用户。

Answer 2

或者换一种说法：

NameIdentifier 是在 Azure AD 中注册的应用程序的 GUID。无论是单租户还是多租户应用程序，这都不会改变。无论您是使用客户端凭据（即 AppId 和 AppSecret）对应用程序进行身份验证还是使用真实用户凭据（即委托）进行日志记录，NameIdentifier 都将保持不变。

ObjectIdentifier 是使用委托时用户的用户主体名称 (UPN)，或者是使用客户端凭据时应用程序的服务主体名称 (SPN)。

当应用程序是多租户时，您看到不同的ObjectIdentifier 值的原因是每个租户中都有一个单独且唯一的 SPN，它指向注册应用程序的租户中的 ApplicationGUID。此 SPN 用于为应用程序分配针对每个租户中的资源的权限。