Azure AD，如何为OIDC /userinfo请求添加用户声明

Question

我正在Azure AD中实现一个新的“注册”应用程序，为此我需要在用户身份验证过程中获取用户的Samaccountname值作为首选声明。这些应用程序可以处理oidc请求，所以我试图找到一种方法，在用户的配置文件(get https://graph.microsoft.com/oidc/userinfo)中添加一个新的声明，其中包含从本地active directory同步的SamaccountName属性“extension _ CDA 8 B3 EAF DFB 4 aa 0 b 27 ca 9860634 FD 74 _ Sam account name”。不幸的是，经过多次研究和测试，我找不到实现这一点的方法。将赞赏任何关于这个主题的经验，谢谢

在我探索声明映射策略技术（https://docs.microsoft.com/en-us/azure/active-directory/develop/active-directory-claims-mapping）之前，请在标识令牌中创建并返回自定义声明，因为应用也可以实现 Oauthv2。但是，我在应用程序中没有任何灵活性来更改可以从令牌（硬编码）读取的声明列表。这种灵活性只能通过oidc配置来提供，我可以在其中选择首选声明。

Answer 1

根据我的理解，你想要将自定义属性 Samaccountname 添加到 Azure AD 中。

您应该使用Azure广告图API来实现它：

POST https://graph.windows.net/contoso.onmicrosoft.com/applications/269fc2f7-6420-4ea4-be90-9e1f93a87a64/extensionProperties?api-version=1.5 HTTP/1.1
Authorization: Bearer eyJ0eXAiOiJKV1Qi...r6Xh5KVA

{
    "name": "Samaccountname",
    "dataType": "String",
    "targetObjects": [
        "User"
    ]
}

使用Azure AD图形资源管理器对其进行快速测试。

详情见此。

请注意，此API仅支持1.0版Azure广告应用程序（不支持个人帐户）。

此外，Microsoft强烈建议您使用Microsoft Graph而不是Azure AD Graph API来访问Azure Active Directory资源。有关如何使用Microsoft Graph API向Azure AD用户添加自定义属性，请参阅：使用开放扩展向用户添加自定义数据。

更新:

对不起，耽搁了。请不要在不是答案的情况下添加答案。您可以编辑问题以更新帖子。

“extension_cda8b3eafdfb4aa0b27ca9860634fd74_sAMAccountName”这种格式的自定义属性由 Azure AD Graph 托管，而不是 Microsoft Graph。通过 Microsoft Graph 无法查看自定义属性。

您可以调用AAD Graph APIendpoint来获取预期的自定义属性:

GET https://graph.windows.net/myorganization/users

在AAD Graph Explorer中进行快速测试。

Answer 2

非常感谢，但是我意识到我的问题很混乱。在我的例子中，samaccountname扩展属性已经存在于onpremise Adconnect同步中。其中PS C:\Users\HEDEP