为不同用户组授权 Azure 应用服务端点

Question

我有一个简单的 Azure 应用服务，它公开了两个 REST 端点。 是否可以设置一个身份验证方案，以便每个端点只能由一组特定的 Azure AD 用户访问？

Endpoint A (HTTP/GET) <- Accessible by User Group A
Endpoint B (HTTP/POST) <- Accessible by User Group B

如果不是通过配置，是否可以以编程方式执行此操作？

提前致谢。

Answer 1

简短的回答：是的，这是可能的。

更长的答案：这不是通过单个配置设置或一行代码可以完成的。 具体步骤取决于您用于编写 API 的语言。

一般情况下，您需要在应用程序中添加 AAD 身份验证。 确保您从 AAD 获得的令牌在其声明中包含安全组。 然后，根据这些声明中的安全组添加授权。

对于 ASP.NET，这里有两篇很棒的文章：
快速入门：使用 Microsoft 标识平台保护 ASP.NET 内核 web API
使用组和组声明向使用 Microsoft 标识平台登录用户的 ASP.NET 核心 Web 应用程序添加授权

有趣的链接：

微软身份平台
Microsoft 身份验证库 (MSAL)