Azure 活动目录 |基于角色的授权

Question

我尝试了各种跨 Internet 的 Azure Active Directory 身份验证方案。所有示例都只关注通过身份验证进行授权。我正在寻找根据我的AAD App Registration 的角色授权用户。

Auth() Scenarios,

例如，

..\Controller\ArtistController.cs:

public class ArtistController : ApiController
    {
        [Authorize(Roles = "Admin, InternalAdmin")]
        public void Post(ArtistModel model)
        {
            // Do admin stuff here...
        }
    }

..\App_Start\Startup.Auth.cs [不工作]：

public void ConfigureAuth(IAppBuilder app)
    {
        app.UseWindowsAzureActiveDirectoryBearerAuthentication(
                new WindowsAzureActiveDirectoryBearerAuthenticationOptions
                {
                    Tenant = ConfigurationManager.AppSettings["ida:Tenant"],
                    TokenValidationParameters = new TokenValidationParameters
                    {
                        SaveSigninToken = true,
                        ValidAudience = ConfigurationManager.AppSettings["ida:Audience"],
                        RoleClaimType = "http://schemas.microsoft.com/ws/2008/06/identity/claims/role"
                    }
                });
    }

..\App_Start\Startup.Auth.cs [工作中]：

public void ConfigureAuth(IAppBuilder app)
{
    app.UseOpenIdConnectAuthentication(
            new OpenIdConnectAuthenticationOptions
            {
                ClientId = ConfigHelper.ClientId,
                Authority = ConfigHelper.Authority,
                RedirectUri = "<<Home_Url>>",
                PostLogoutRedirectUri = ConfigHelper.PostLogoutRedirectUri,

                TokenValidationParameters = new TokenValidationParameters
                {
                    ValidateIssuer = true,
                    NameClaimType = "upn",
                    RoleClaimType = "roles",    // The claim in the Jwt token where App roles are provided.
                },

                Notifications = new OpenIdConnectAuthenticationNotifications()
                {
                    AuthenticationFailed = context =>
                    {
                        context.HandleResponse();
                        context.Response.Redirect("/Error/ShowError?signIn=true&errorMessage=" + context.Exception.Message);
                        return System.Threading.Tasks.Task.FromResult(0);
                    }
                }
            });
}

我了解OWIN 可以连接任何middleware 来处理传入的http 请求。 Auth Middlewares 喜欢 OpenId, WindowsBearerToken,...

根据这个例子，UseOpenIdConnectAuthentication() 是唯一正确的middleware 来通过UseWindowsAzureActiveDirectoryBearerAuthentication() 上的角色授权网络资源吗？

请提出建议。

Answer 1

是的，OpenID 是唯一适用于此的中间件。 OpenID Connect 目前别无选择。

我发现设置角色的最佳方法是在清单中添加这些角色，然后对逻辑进行硬编码以将不同的权限授予不同的用户。

这是迄今为止我找到的最好的样本。只需将连接字符串添加到 Azure SQL 即可。 https://github.com/Azure-Samples/active-directory-dotnet-webapp-roleclaims