使用 Azure AD 和應用程序角色保護 Angular &.Net Core API

Question

我的系統由Angular前端和.Net Core API后端組成。 兩者都在 Azure 門戶中注冊為單獨的 Active Directory 應用程序。

因此，這兩個應用程序都受 Azure AD 保護。 API 在 Angular 前端由經過身份驗證的用戶公開和使用。

問題是 - 我希望用戶擁有不同類型的用戶角色（用戶/版主/管理員）。 這些角色將根據用戶角色使某些 API 端點可訪問或不可訪問。 用戶角色還將塑造 Angular 上的 UI。

根據我的研究，我似乎可以在 Azure AD 上使用稱為應用程序角色的東西，但是我不知道如何實現它們。

我有以下問題-

1. 應在哪個注冊的 Azure AD 應用程序（API 或 Angular）上定義應用程序角色？
2. 我將如何訪問這些角色 - 它們是包含在不記名令牌中還是我需要調用 Microsoft Graph API 來檢索它們？

Answer 1

應在哪個注冊的 Azure AD 應用程序（API 或 Angular）上定義應用程序角色？

我會說在 API 應用程序上注冊它們。 無論如何，您無法在前端強制執行這些角色，因此您至少需要在后端對它們實施授權檢查。

我將如何訪問這些角色 - 它們是包含在不記名令牌中還是我需要調用 Microsoft Graph API 來檢索它們？

如果您在 API 應用程序中定義它們並將它們分配給用戶，它們將位於訪問令牌中。 如果通過隱式流獲得令牌中的數量會有一些限制，但如果你有像你提到的 3 一樣，你應該沒問題。