Id_token声称

Question

我有一个AngularJS应用程序，我使用adal.js成功地针对ADFS 4.0进行了身份验证。

一切正常但id_token中的声明不包含有关用户隐藏用户不应访问的应用程序部分的足够信息。获取组的正确方法是什么，用户是令牌中的一部分？或者我是以错误的方式解决这个问题。

Answer 1

我不了解ADFS，但如果您要针对Azure AD进行身份验证，则不会只使用id_token，而是使用它来获取应用程序的访问令牌。访问令牌将包含用户在应用程序中的角色，您可以使用它来验证对应用程序部分的访问权限。

Answer 2

根据我的理解，我们可以将关于用户所属的群组信息的自定义声明添加到访问令牌，如下面的配置：

然后，在Web API的后端，我们可以验证请求关联访问令牌是否可以访问特定的Web API。