Azure AD 属性 user.assignedroles 未在 SAML 响应中发送，null

Question

为什么“user.assignedroles”为空，导致无法发送token？

我遇到这种情况知道。即使我可以看到我在 azure 和 Active Directory 中被分配了角色，这个值仍然必须设置为 null。

我可以看到这里 https://github.com/MicrosoftDocs/azure-docs/blob/master/articles/active-directory/develop/active-directory-enterprise-app-role-management.md

它声明关于 user.assignedroles “如果角色声明值为 null，则 Azure AD 不会在令牌中发送此值，这是设计的默认值。”

这就是我知道它为空的方式。 （因为它没有被发送）

Answer 1

您为您的用户分配了一个值为“null”的角色。

您可以在Microsoft Graph Explorer查看：

https://graph.microsoft.com/beta/servicePrincipals/{Object ID of your Enterprise App}

在响应中，检查您分配的角色。如果“value”的值为 null，Azure AD 将不会在令牌中发送此值。

所以当你update an existing role时，记得将“值”设置为有意义的值。