从多租户应用程序查询租户Azure AD

Question

我们有一个多租户Saas应用程序，使用我们的用户名/密码认证系统并使用Azure AD（OAuth 2.0流程）提供登录。 当用户使用Azure AD登录时，我们可以使用https://graph.windows.net/ {tenantid} / me获取用户的个人资料。 但是，我们希望使用memberOf或getMemberGroups操作获取更多信息，以检索租户目录中的用户组，以将特定组从租户映射到应用程序中的组织结构。 但是，这些操作始终会因Forbidden状态代码而失败。 我们是否缺少必需的权限，或者是否无法查询其他租户的组和角色。

提前致谢

Answer 1

这完全有可能，但今天要求您申请“读取目录”权限。 此许可确实要求租户同意并由管理员同意。 我们正在考虑为Graph API添加一些额外的细粒度权限，以允许用户同意（获取组成员身份信息）。

另一个选项是将应用程序配置为请求组成员身份声明（应出现在任何用户或JWT令牌中）。 您可以通过访问azure管理门户并进入应用程序的配置页面来完成此操作。 从那里下载应用程序清单文件并更新groupMembershipClaims属性。 您可以在此处描述的应用程序清单中看到大多数属性： https ： //msdn.microsoft.com/en-us/library/azure/dn151677.aspx 。 更新后，您可以上传此应用清单文件，这将相应地配置您的应用程序。 完成后，AAD将在令牌中发出组成员身份声明。 Dushyant撰写了一篇关于授权访问Web应用程序，使用组成员资格声明或应用程序角色的精彩博客。 您可以在此处通过Alex Simons博客文章找到它： http ： //blogs.technet.com/b/ad/archive/2014/12/18/azure-active-directory-now-with-group-claims-and-application -roles.aspx

HTHS