Azure AD 是否支持具有可映射到自定义权限的自定义角色的多租户用户管理？

Question

Azure AD 是否支持自定义角色的多租户用户管理？ 自定义角色是指为托管在云中的 web 应用程序定义的角色。 还需要定义可以映射到自定义角色的自定义权限/权利。

ORG --roles --entitlements --users

Answer 1

是的，AAD 支持它，但不完全支持。

我们可以在主租户的应用注册中定义应用角色。 然后将用户和组分配给应用角色。

之后，当已分配应用角色的用户登录您的应用程序时，您之前定义的应用角色将存在于其 id 令牌中。 您可以在代码中解析它以获取角色。

但 AAD 不支持自定义权限/权利。 您应该以自己的方式实现这部分。 例如，您可以在配置文件中设置应用角色和自定义权限的匹配列表。 获取应用角色后，在配置文件中找到其匹配的自定义权限。

对于如何让多租户用户使用此自定义角色，您只需使用管理员同意 url将此应用注册添加到客户的租户中。

https://login.microsoftonline.com/{tenant-id of customer's tenant}/adminconsent?client_id={client-id}

使用客户租户的管理员帐户登录，并为该租户执行管理员同意。 然后，该租户中将存在一个企业应用程序。 现在您可以直接将用户和组分配给应用角色。 这样，客户租户的用户就可以使用应用角色。