Web API中的Azure身份验证-角色声明在验证后丢失

Question

我想在我们的Web API中基于Azure AD应用程序角色进行用户授权，但这些角色不会转化为实际声明，即使我可以在令牌验证响应中看到它们。

我可以看到ClaimsMain中的角色。当前。声明列表，但在属性名称角色下，而不是声明模式下http://schemas.microsoft.com/ws/2008/06/identity/claims/role.

我已经设法通过将RoleClaimType设置为“角色”来获得授权属性来识别角色。

但是我如何让Azure返回角色，或者配置API来解释它们，以便HasClaim（ClaimTypes.Role，“AdminRole”）返回true？

控制器。反恐精英

[Authorize(Roles = "AdminRole")]
public IEnumerable<Item> Get()
{
    var a = ClaimsPrincipal.Current.HasClaim( ClaimTypes.Role, "AdminRole" ); // false
    var b = User.IsInRole( "AdminRole" ); // true
}

启动。反恐精英

public void ConfigureAuth( IAppBuilder app )
{
   app.UseWindowsAzureActiveDirectoryBearerAuthentication(
    new WindowsAzureActiveDirectoryBearerAuthenticationOptions
    {
        Tenant = ConfigurationManager.AppSettings[ "ida:Tenant" ],
        TokenValidationParameters =
            new TokenValidationParameters
            {
                ValidAudience = ConfigurationManager.AppSettings[ "ida:Audience" ],
                RoleClaimType = "roles" // makes this work: User.IsInRole( "AdminRole" )
            }
    } );
}

Azure门户

• 注册了Web API和本机WPF客户端应用程序，并修改了Web API的清单，使其包含两个角色。"Azure门户/应用注册/编辑清单"
• 向Web Api应用程序添加/分配了一些用户，并指定了一个或另一个角色。"Azure门户/企业应用程序/[应用程序名称]-用户和组"

对于所有读到这里的人——提前感谢！

Answer 1

Azure AD发出的声明类型为角色，需要将RoleClaimType（在TokenValidationParameters中）设置为角色，然后可以进行以下验证：

    var a = ClaimsPrincipal.Current.HasClaim("roles", "AdminRole"); 
    var b = User.IsInRole("AdminRole");