在Asp中使用EasyAuth对Azure应用程序服务上的AAD进行身份验证时，无法填充ClaimsPrincipal。Net核心web应用程序

Question

我们有一个建立在Asp上的Web应用程序。净核心。它不包含在其中配置的任何身份验证中间件。

我们在Azure应用程序服务上托管，并使用身份验证/授权选项（EasyAuth）对Azure AD进行身份验证。

身份验证工作得很好——我们插入了必要的标头，我们可以在 /.auth/me.看到经过身份验证的身份但是HttpContext。用户属性不会被填充。

这是Asp的兼容性问题吗？净核心？还是我做错了什么？

Answer 1

为此，我编写了一个小型的基本中间件。它将创建一个基于的身份。身份验证/我终结点。身份在身份验证管道中创建，以便[授权]属性和策略与身份一起工作。

你可以在这里找到它：

https://github.com/lpunderscore/azureappservice-authentication-middleware

或者在nuget上：

https://www.nuget.org/packages/AzureAppserviceAuthenticationMiddleware/

添加后，只需将此行添加到启动：

应用程序。UseAzureAppServiceAuthentication（）；

Answer 2

是的，这是兼容性问题。不幸的是，ASP. NET Core不支持将身份信息从IIS模块（如Easy Auth）流到应用程序代码。这意味着HttpContext。用户和类似的代码不会像常规ASP. NET那样工作。

目前的解决方法是调用web应用程序的/。从服务器代码中对endpoint进行身份验证，以获取用户声明。然后，可以使用x-ms-client-principal-id请求头值作为缓存键来缓存该数据。/。auth/me调用需要以与对web应用的调用需要进行身份验证相同的方式进行正确身份验证（auth cookie或请求头令牌）。

Answer 3

我已经创建了一个自定义中间件，它将填充用户属性，直到Azure团队解决这个问题。

它从应用服务身份验证中读取标头，并创建一个用户，该用户将被[Authorize]识别，并对name拥有声明。

// Azure app service will send the x-ms-client-principal-id when authenticated
app.Use(async (context, next) =>
{

    // Create a user on current thread from provided header
    if (context.Request.Headers.ContainsKey("X-MS-CLIENT-PRINCIPAL-ID"))
    {
        // Read headers from Azure
        var azureAppServicePrincipalIdHeader = context.Request.Headers["X-MS-CLIENT-PRINCIPAL-ID"][0];
        var azureAppServicePrincipalNameHeader = context.Request.Headers["X-MS-CLIENT-PRINCIPAL-NAME"][0];

        // Create claims id
        var claims = new Claim[] {
        new System.Security.Claims.Claim("http://schemas.microsoft.com/identity/claims/objectidentifier", azureAppServicePrincipalIdHeader),
        new System.Security.Claims.Claim("name", azureAppServicePrincipalNameHeader)
        };

        // Set user in current context as claims principal
        var identity = new GenericIdentity(azureAppServicePrincipalIdHeader);
        identity.AddClaims(claims);

        // Set current thread user to identity
        context.User = new GenericPrincipal(identity, null);
    };

    await next.Invoke();
});