如何在ASP.Net中使用Okta設計基於多租戶應用程序的基於聲明的身份系統

Question

我有一個多租戶應用程序，它在Windows AD中使用基於聲明的身份管理。 單個用戶可以訪問多個租戶，他/她可以通過從標頭中的下拉列表（具有相同憑據）中選擇一個不同的租戶來輕松切換。

可以說我想限制訪問我應用程序中的功能A，B，C。 我有客戶ACME1和ACME2。 如何設計身份角色/聲明設置，以便用戶可以訪問ACME1的功能A和B，而同一用戶只能訪問ACME2的B和C功能。

Answer 1

您可以使用Okta表達式將自定義授權服務器配置為返回動態聲明。 此處的文檔：

https://developer.okta.com/authentication-guide/implementing-authentication/set-up-authz-server#create-claims-optional

這樣，您可以使用組名，例如company_a，並將用戶置於他們有權訪問的公司的組中。 然后，您可以將授權服務器配置為在身份驗證期間將組作為作用域返回。