Azure 中的应用程序角色多租户 Saas 应用程序

Question

对于一个新项目，我们正在试用 Azure 功能。 对于 poc，我创建了一个使用 openidconnect en Azure Active Directory 进行身份验证的应用程序。该应用程序是多租户的。

现在，我能够配置开放式身份验证。我还在应用程序清单中添加了 3 个应用程序角色。

现在我使用 Azure Active Directory 中的租户登录。而且我能够将这些应用程序角色分配给自己，当我检查应用程序时，它还可以列出我的用户从另一个租户分配的新角色。

现在我想创建特定于租户的角色（通​​过门户，如果可能，通过代码？（OpenGraph？，ADClient？））我该怎么做？

如何使用代码将每个租户的应用程序角色和自定义创建的角色添加到用户？

Answer 1

Azure AD 应用程序角色和角色声明基于应用程序。我们只能为应用程序创建角色，所有使用此应用程序的租户都将使用应用程序清单中定义的角色。它无法创建租户特定的角色。

根据场景，您可以考虑使用组声明授权应用程序，因为组是基于租户的。您可以参考有关 Azure AD 组的代码示例进行授权here。

我们可以使用 Azure Graph API 来管理组和用户，更多细节可以参考here。

注意

要创建群组和更新群组成员，该应用需要Group.ReadWrite.All、User.ReadBasic 或User.Read.All 权限。所以这些应用需要管理员同意Group.ReadWrite.All 权限。