為不同用戶組授權 Azure 應用服務端點

Question

我有一個簡單的 Azure 應用服務，它公開了兩個 REST 端點。 是否可以設置一個身份驗證方案，以便每個端點只能由一組特定的 Azure AD 用戶訪問？

Endpoint A (HTTP/GET) <- Accessible by User Group A
Endpoint B (HTTP/POST) <- Accessible by User Group B

如果不是通過配置，是否可以以編程方式執行此操作？

提前致謝。

Answer 1

簡短的回答：是的，這是可能的。

更長的答案：這不是通過單個配置設置或一行代碼可以完成的。 具體步驟取決於您用於編寫 API 的語言。

一般情況下，您需要在應用程序中添加 AAD 身份驗證。 確保您從 AAD 獲得的令牌在其聲明中包含安全組。 然后，根據這些聲明中的安全組添加授權。

對於 ASP.NET，這里有兩篇很棒的文章：
快速入門：使用 Microsoft 標識平台保護 ASP.NET 內核 web API
使用組和組聲明向使用 Microsoft 標識平台登錄用戶的 ASP.NET 核心 Web 應用程序添加授權

有趣的鏈接：

微軟身份平台
Microsoft 身份驗證庫 (MSAL)