我们可以验证特定组的用户在Active Directory中

Question

我可以在Active Directory用户进行身份验证，但我需要知道我们可以在组认证一个特定的用户，如果我们有多个组。 基本上我重定向到http://[mydirectory].onmicrosoft.com和验证用户，但我需要知道我们是否有机制来验证从特定组中的用户，这样我可以根据用来接入。

Answer 1

假设这是天青 AD（而不是本地的Windows Server AD），那么你有三种选择来限制通过组访问应用程序。

选项1：要求用户/组分配到应用

这是一个不需要在应用程序中添加授权逻辑的唯一选择。

在配置中的经典Azure的门户应用程序，您可以设置应用程序需要用户分配：

然后，在“用户和组”该应用程序，您可以选择个人用户或组应该有权访问应用程序。

这里要考虑的最重要的事情是，这只适用于直接组的成员，而不是嵌套成员。

选项2：要求组织声称

此选项可以让你请求后，用户已签订了含有组列表中的用户是其成员的令牌返回给应用程序。这包括他们是传递成员（即嵌套组）的组。

从经典Azure的门户应用程序的配置页面，你可以下载和上传应用程序的清单JSON文件。在清单中，找到"groupMembershipClaims"属性，并将其设置为"All"或"SecurityGroup"（后者将排除分发列表）。

设置此设置后，用户登录后，得到的令牌将有一个groups声明，其中包含该用户所属的组对象ID的列表。然后，您的应用程序可以使用这些声明来决定用户是否应该访问。

Dushyant吉尔进入小组声称在细节在他的博客文章：http://www.dushyantgill.com/blog/2014/12/10/authorization-cloud-applications-using-ad-groups/

重要的考虑在这里是有是可以返回组数的限制。如果用户是此限制的更多组的成员，则会发出“超额”声明，并且您的应用程序需要进行Azure AD Graph API调用以获取完整列表。 （这也是在Dushyant的博客中。）

选项3：使用的Microsoft Graph API或Azure AD Graph API直接

最后的选择是简单地调用微软图形API（或在Azure AD图形API ，它们的行为几乎完全相同）来确定登录用户是否为给定组的成员。然后您的应用程序可以做出授权决定。

有可以采取几种方法（所有这些都是可传递的检查，因此嵌套组被支持）：

• isMemberOf来检查该用户是否是特定的（单）组的成员。如果单个组应授予您应用的访问权限，这是最简单的。
• checkMemberGroups检查用户是否为组列表中的任何组的成员。如果不同的组在应用程序中授予不同的角色或权限，这很有用。
• getMemberGroups返回用户所属组的完整列表。这对于进行授权检查通常不是特别有用。