是否可以在没有 Azure Active Directory Premium 的情况下进行基于角色组的授权

Question

当在 Azure Active Directory 中引入 RBAC 时，可以将角色授予用户或用户（组）集合。我们关注 this 博客文章，并在首次引入时为我们的应用程序添加了该功能。但是现在，我们必须使用 Active Directory Premium 来为组分配角色并获得不记名令牌中的角色。使用 Azure Active Directory 对我们来说不是一个可行的解决方案，因为 Premium 将花费我们 6 美元用户/月，而且我们有很多组，每个组都有很多用户。看看我们的 IT 团队不愿意为这个包买单的成本。我只是想知道是否有将角色映射到组的替代方法。或者这只能使用高级版。

Answer 1

使用带有 Azure AD Premium 或 Azure AD Basic 许可证的 Azure Active Directory (Azure AD)，您可以使用组来分配对与 Azure AD 集成的 SaaS 应用程序的访问权限（请参阅 here关于细节）。

因此，如果您想使用组管理角色，我们至少需要 Azure AD Basic 许可证。如果您使用的是免费版，我们只能将角色一一分配给用户。

除了使用角色管理应用程序的访问权限外，我们还可以使用同样支持 Azure AD 免费版的组。您可以使用来自here 的 Azure AD 组和组声明检查有关 Web 应用中授权的代码示例。