如何根据域外的 AD 组成员身份授权用户？

Question

我有一个 PHP web 应用程序，它在域外的服务器上运行，我希望能够将一些管理功能锁定到 Active Directory 中某些组的成员，因此对财务部分的访问仅限于成员'财务'组等等。 这似乎是 Microsoft 身份平台的设计目标，但我看不到一种简单的方法来获得简单的“用户是 X 组的成员”类型的响应，而不是全面登录过程。 如果我需要sign-in -> group membership check方法，那很好，我很高兴通过 OAuth 往返发送用户登录到他们的 Windows 帐户并验证他们很乐意分享应用程序的数据。

我认为这里的部分问题是暂时没有处理 Windows 的这一部分，我不知道要搜索什么才能找到有用的文档。

是否有一种简单的方法可以向组织的 Active Directory 发送请求，询问“此用户是否是 {group} 的成员”并获得确认或拒绝的响应？

Answer 1

您可以调用 Microsoft Graph API: List memberOf来检查用户是直接成员的组和目录角色。

GET https://graph.microsoft.com/v1.0/users/{id}/memberOf

您需要获取 Microsoft Graph 访问令牌才能调用 Microsoft Graph API。

还有另一种更简单的方法可以根据 AD 组成员身份授权用户。 只需在您的令牌中包含groupMembershipClaims声明并在登录后检查它。有关更多详细信息，请参阅此答案。