如何减少标准范围授权请求Spring Boot发送到azure活动目录

Question

我想使用azure active directory作为我的Spring boot应用程序的身份验证提供程序。这似乎很容易，只要你自己有管理员权限，或者你认识一个拥有管理员权限的人，他可以给你权限进入“Directory.accessuser.All”。不幸的是，我没有这个。我知道，由于其他成功的项目，azure本身提供了机会，即使没有对API调用权限部分授予任何权限，也可以继续充当身份验证提供者。当我启动服务器并转到localhost:8080/home，同时跟踪我的网络流量时，我可以在身份验证文件中看到以下范围：openid概要文件https://graph.microsoft.com/User.Readhttps://graph.microsoft.com/Directory.AccessAsUser.All

所以我处理这个问题的想法是减少授权请求Spring要求的范围，以满足我在azure中允许的授权范围。这是所有这些，但如前所述的最后一个。我尝试在我的application.propertie中使用以下内容配置范围：spring.security.oauth2.client.registration.azure.scope=openid

所以发生的事情是在我尝试在线访问我的应用程序后，我重定向到mircosoft登录页面。输入我的详细信息后，我得到了这个：

为了能够访问组织中的资源，需要只有管理员才能授予的授权。请请求管理员授予此应用的权限，以便您可以使用该应用。

有人知道如何处理这件事吗？我非常乐意提供任何帮助！




Answer 1

好的，我发现了问题。在我的application.property，我有这行代码azure.activedirectory.user-group.allowed-组=。这是更大范围内的责任。删除它后，一切正常。

Answer 2

我认为你只能以管理员身份登录，因为你登录时使用的是微软提供的SDK，所以你无法自定义application.propertie中的权限范围。

登录应用程序时，需要您同意所有权限。如果您只是以用户身份登录，则无法同意所有权限。所以，至少在登录模块中，我认为它不能满足您的要求。

通常，我们只能在请求访问令牌时自定义权限范围。例如，如果您只需要读取用户权限，则可以设置：<代码>范围：https://graph.microsoft.com/User.Read 。

登录示例。