如何配置 Azure AD Oauth2 在登录时返回所有用户组

Question

我有一个 AD 注册应用程序，它与 SSO 的 Azure AD 集成。 它通过使用omniauth-azure-activedirectory-v2 gem 使用 Oauth2 策略。

我想要 map 一个用户安全组到我的应用程序授权 model 为此我需要安全组的名称。

我想在登录时可靠地获取用户安全组和组名，但我做不到。 我有时正确地得到它们，有时以 uuid 格式得到它们，有时根本没有。

我在Token Configuration中为我的应用程序设置了一个可选的组声明，并配置为为所有附加组返回sam_account_name 。

这对于某些客户来说似乎工作正常，这些组返回为例如“Admin_APP”，但对于其他人我似乎有以下问题：

• 返回用户组，但仅作为 ID（ c5bb3738-59f1-4718-b34c-2dfac761e023 ）返回，即使我请求了名称。
• 用户有“可读组”，但并非全部分配在 AD 中，有些丢失了。

这是我的应用程序端的配置，还是应该将我的应用程序添加到他们的 AD 的组织配置他们的组或我的应用程序？ 还是我根本不应该依赖令牌 cliam 并使用 GraphQL API Azure 报价获取组？

我注意到在自己添加应用程序时我需要为我的 user.profile 授予权限，但它没有显示允许的组权限。 同样在permissions下的组织的企业应用程序选项卡中，我似乎找不到我添加的组声明。 只有openid 、 profile和email 。

Answer 1

我尝试在我的环境中重现相同的内容并得到如下结果：

我在 Azure AD 应用程序中配置了可选声明：

我使用以下参数通过 Postman 生成了访问令牌：

https://login.microsoftonline.com/TenantID/oauth2/v2.0/token

client_id:ClientID
client_secret:ClientSecret
scope:user.read openid
grant_type:authorization_code
redirect_uri:redirectUri
code:code

当我解码令牌时，我得到的是Group IDs而不是组名称，如下所示：

请注意：如果您将sAMAccountName配置为令牌中的声明值，则它只会返回从本地 AD 同步的组。 默认情况下，Group ObjectID在组声明值中返回。

默认情况下，令牌中发出的组对于 SAML 断言限制为 150 个，对于 JWT 限制为 200 个。

我同意junnas ，你可以利用 Graph API 来获取如下用户组：

https://graph.microsoft.com/v1.0/users/UserID/memberOf

要获取用户所属的唯一安全组列表，您可以使用以下查询：

https://graph.microsoft.com/v1.0/users/UserID/memberOf?Filter("mailEnabled eq false and securityEnabled eq true")

参考：

列出用户的直接成员资格 - Microsoft Graph v1.0 | 微软学习

如何让组在 amanpreetSingh-MSFT 的 access_token 中显示为声明