将安全组声明添加到自定义 Azure Active Directory 应用程序的 SAML 令牌答案

【问题标题】：Add Security Group Claims to SAML token for Custom Azure Active Directory Application将安全组声明添加到自定义 Azure Active Directory 应用程序的 SAML 令牌
【发布时间】：2016-10-22 08:41:06
【问题描述】：

我已根据 MS 指南 here 在我们的活动目录中添加了一个自定义应用程序

如何自定义 SAML 令牌中提供的声明以提供经过身份验证的用户的安全组。本文未提及群组https://azure.microsoft.com/en-us/documentation/articles/active-directory-saml-claims-customization/

我通常知道对于 AD 中的 Azure 应用程序，我可以更改清单以使其返回安全组。但是我没有使用 SAML 版本的经验。我们关心的组数量非常有限，因此即使是 InGroupA 的布尔标志也可以使用。

我正在使用 kentor Authservices 并且该部分工作正常，但它对组没有要求。我试图让它需要属性 http://schemas.microsoft.com/ws/2008/06/identity/claims/groups 但是它仍然在没有包含此声明的令牌的情况下登录我。

有什么想法吗？

【问题讨论】：

你能看看这篇文章吗？ dushyantgill.com/blog/2014/12/10/…
是的 - 我已经读过了。通过图库添加的自定义应用程序无法让我编辑清单，因此我似乎无法以这种方式返回组声明。 SAML 令牌从不包含组

标签： azure saml-2.0 azure-active-directory claims-based-identity kentor-authservices

【解决方案1】：

这是可能的，但您需要通过REST API 来完成

通过它的 objectid 查找应用程序将属性 groupMembershipClaims 更新为 All

您也可以使用此 PowerShell 脚本。

使用脚本 here 我加载了所需的库，然后运行以下命令：

Connect-AAD (use the tenant GA credentials)
Execute-AADQuery -Base "applications" -HTTPVerb Get
Execute-AADQuery -Base "applications/<GUID>" -HTTPVerb Patch -Data (New-Object -TypeName PsObject -Property @{"groupMembershipClaims"="All"})

【讨论】：