Azure Active Directory 中供应用程序使用的角色和权限

Question

这个赏金已经结束了。 此问题的答案有资格获得+500声望赏金。 赏金宽限期在11 小时后结束。 dev.e.loper想提请更多人关注这个问题。

我对 Azure Active Directory 比较陌生，并试图了解一些用于管理应用程序使用的自定义角色和权限的最佳实践或指南。

例如，我可能想创建一个“技术员”角色，并且他们拥有在应用程序和端点内强制执行的“firmware.upgrade”或“product.view”等权限。

那么“技术员”实际上是一个 Azure AD 组吗？我可以为该组分配自定义角色“firmware.upgrade”和“product.view”吗？ 它甚至可以那样工作吗？

此外，我可以考虑应用程序角色，但“技术人员”（和其他人）将是跨多个应用程序使用的角色。 所以我不确定应用程序角色是否有意义。

Answer 1

你在正确的轨道上。

您将首先在 Azure AD 应用程序中创建应用角色，例如“firmware.upgrade”和“product.view”。 请注意，这些角色仅特定于您的 Azure AD 应用程序，具有这些角色的用户可以执行的操作的逻辑将在您的应用程序代码中定义。

接下来，您将创建一个 Azure AD 组（例如“技术人员”、“用户”等）并开始在这些组中分配 Azure AD 中的其他用户。

然后，您将分配这些组应用程序角色。 例如，您可以选择将“firmware.upgrade”和“product.view”角色分配给“Technicians”组，而将“product.view”角色分配给“Users”组。

当用户针对您的应用程序的 Azure AD 进行身份验证/授权时，声明将包括直接或通过组成员资格分配给他们的所有应用程序角色。 根据声明中的应用角色，您将向这些用户授予对应用程序某些部分的访问权限。

请注意，虽然组适用于整个 Azure AD，但您的应用程序角色仅特定于应用程序。 对于 Azure AD 中的每个应用程序，您需要创建新的应用程序角色。

Answer 2

我可以看到另一个答案不是自动答案。无论如何 Azure Active Directory B2C（企业对消费者）没有组的概念，因此不可能对企业应用程序进行基于组的分配。

您可以使用自定义属性来为 B2C 用户分配角色和权限，而不是使用组。 自定义属性是您可以根据用户身份定义和存储的特定于用户的属性。 您可以使用这些属性来存储信息，例如用户的角色或权限。

然后，您可以使用这些自定义属性来控制对您的应用程序的访问。 例如，您可以将您的应用程序配置为检查自定义属性（如“角色”）的值，以确定用户是否具有访问特定功能或资源的必要权限。

但是您也需要自己处理这些属性的管理和分配，而对于组，Azure AD 会为您处理。