如何配置用户访问受 Azure AD oAuth2 保护的 API

Question

我们有一个现有的“私有/内部”API（非 MS/Azure），我们希望使用 Azure AD 提供的 oAuth2 来保护它，以便用户对 API 的访问可以由 Azure AD 管理员维护。

执行此操作的方法似乎是将 API 配置为 Azure AD 中的 Web 应用程序。然后，用户可以从 Azure oAuth2 服务器获取授权令牌并将其发送到 api（例如，从单页 Web 应用程序）。

根据我的理解，API 应验证令牌中收到的范围，并就访问做出决定。

但我不知道如何在 Azure AD 中针对用户配置 API 访问范围。 IE。如何在 Azure AD 中链接特定用户和 API 范围？

有人可以建议吗？

谢谢。

Answer 1

配置应用程序时，可以启用“需要用户分配”（在 Azure 门户的企业应用程序属性中），然后配置哪些用户或组应具有访问权限。

或者，如果您需要更多粒度，您可以使用基于角色的访问，您可以在应用程序清单 (https://docs.microsoft.com/en-us/azure/architecture/multitenant-identity/app-roles) 中定义角色，然后将用户分配给不同的角色。

API 控制器或其中的操作上的 [Authorize] 属性可以配置为访问它们所需的角色，如下所示： [Authorize(Roles = "Admin, Writer, Approver")]（三个命名角色中的任何一个都可以访问）。

有一个sample 证明了这一点。