如何从azure-active-directory获取具有特定组声明的令牌

Question

我有一个客户端.Net应用程序，该应用程序使用ADAL来访问Azure上运行的Web API应用程序。

服务器具有自定义代码，用于验证用户属于特定的安全组。

问题是我的用户属于太多组，这导致AAD根本不在令牌中包括组列表。

因此，我的自定义代码再次调用了AAD Graph API，以验证用户是否属于该组-除了客户端为获得身份验证令牌而进行的操作之外。

有没有办法告诉AAD仅在组声明中返回该特定组（以便AAD将其包含在令牌中）？

任何其他阻止我进行第二次调用的想法（除了我目前没有的缓存之外）都将不胜感激。

Answer 1

到目前为止，AAD无法发送用户组的子集。 一个可能的技巧是为您的应用定义一个角色，然后将该组分配给该角色。 在这种情况下，只有当用户属于该组时，您才会在令牌中看到该角色。 高温超导