將存儲在數據庫中的用戶配置文件鏈接到Azure Active Directory帳戶

Question

我們將Azure Active Directory（OpenId和OAuth2）用於授權和身份驗證需求。 我們還希望將用戶的個人資料保存在我們的微服務之一中，我們將該服務命名為“用戶首選項”。 該服務將存儲許多僅一種產品所需的特定字段，這就是為什么我們不想將它們存儲在Active Directory（自定義字段）中的原因。

有了所有這些，我們正在尋找最佳的Azure AD字段，可用於將用戶的配置文件連接到Active Directory帳戶。

有幾個候選人：

• UPN-在某些情況下，JWT不包含它
• ObjectId-始終可用，但不可讀且在多租戶結構中是唯一的
• 唯一名稱-應該僅用於在UI上顯示它（Azure推薦）

您能為我們的案例推薦最佳領域嗎？

Answer 1

整理我的評論作為答案：

您只能選擇對象ID或名稱標識符（子聲明）。 使用UPN是危險的，因為可以對其進行更改。

對象ID在目錄中是唯一的，但是如果您支持多個租戶，則還應該存儲租戶ID（tid）。

UPN可以在管理員更改時更改。

而且，如果邀請一個用戶作為訪客來邀請其他AAD租戶，則他們在每個目錄中都有一個對象ID，那就不一樣了。