Azure B2C: Как получить претензию "группы" в токене JWT

В Azure B2C я имел обыкновение получать претензию "групп" в своих токенах JWT, следуя Получение Azure AD Групповая информация с JWT:

  • Откройте менеджер Azure старой школы (https://manage.windowsazure.com)
  • Зарегистрируйте мое приложение с помощью B2C
  • Загрузите манифест B2C для приложения
  • В манифесте измените запись "groupMembershipClaims" на

    "groupMembershipClaims": "SecurityGroup",

  • Загрузите измененный манифест B2C снова

Проблема

Это хорошо работает в прошлом (примерно месяц назад, я считаю...), но это уже не так. Подробнее см. Ниже.

Что я пробовал sofar

План A: используйте Azure Manager

Следуйте за известным рецептом выше.

К сожалению, это больше не работает. Я получаю следующую ошибку, когда этот клиент пытается аутентифицировать меня с помощью B2C:

AADB2C90068: предоставленное приложение с идентификатором '032fe196-e17d-4287-9cfd-25386d49c0d5' недействительно в отношении этой услуги. Используйте приложение, созданное через портал B2C, и повторите попытку.

ОК, справедливо - они переводят нас на новый Портал.

План B: используйте Azure Portal

Следуйте за старым старым рецептом, используя новый портал.

Но это тоже не работает - когда я добираюсь до части "скачать манифест", я не могу найти способ доступа к манифесту (и Googling говорит мне, что он, вероятно, ушел навсегда...).

План C: Mix Azure Portal и менеджер

Получив немного отчаяния, я попытался смешать планы A и B: зарегистрировать приложение с помощью нового портала, а затем изменить манифест с помощью старого Azure Manager.

Но не повезло - когда я пытаюсь загрузить манифест, он терпит неудачу с сообщением

ПараметрValidationException = указаны недопустимые параметры; BadRequestException = Обновления конвергентных приложений в этой версии недопустимы.

План Z: используйте API-интерфейс Graph для получения данных о членстве в группе

Просто отбросьте заявку "group" - вместо этого, всякий раз, когда мне нужна информация о группе, просто запросите сервер B2C с помощью Graph API.

Я действительно, действительно не хочу этого делать - это разрушит самодостаточность токена доступа и сделает систему "болтливой".

Но я включил его в качестве плана Z здесь, просто чтобы сказать: да, я знаю, что существует опция, нет, я ее не пробовал - и я бы предпочел не делать этого.

Вопрос:

Как мне получить претензию "group" в моем токене JWT в эти дни?

Ответ 1

План Z, я боюсь. Я не знаю, почему они не вернули его, но в настоящее время отмечен как запланировано на их Обратная связь (это наивысший рейтинг).

Вот как я это делаю. Запрос групп, когда пользователь аутентифицирован, вы также можете сделать это по-своему - просто запросите, когда и когда вам нужно. Зависит от вашего варианта использования.

public partial class Startup
{
    public void ConfigureAuth(IAppBuilder app)
    {
        app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);
        app.UseKentorOwinCookieSaver();
        app.UseCookieAuthentication(new CookieAuthenticationOptions
        {
            LoginPath = new PathString("/account/unauthorised"),
            CookieSecure = CookieSecureOption.Always,
            ExpireTimeSpan = TimeSpan.FromMinutes(20),
            SlidingExpiration = true,
            CookieHttpOnly = true
        });

        // Configure OpenID Connect middleware for each policy
        app.UseOpenIdConnectAuthentication(CreateOptionsFromPolicy(Globals.SignInPolicyId));
    }

    private OpenIdConnectAuthenticationOptions CreateOptionsFromPolicy(string policy)
    {
        return new OpenIdConnectAuthenticationOptions
        {
            // For each policy, give OWIN the policy-specific metadata address, and
            // set the authentication type to the id of the policy
            MetadataAddress = string.Format(Globals.AadInstance, Globals.TenantName, policy),
            AuthenticationType = policy,
            AuthenticationMode = AuthenticationMode.Active,
            // These are standard OpenID Connect parameters, with values pulled from web.config
            ClientId = Globals.ClientIdForLogin,
            RedirectUri = Globals.RedirectUri,
            PostLogoutRedirectUri = Globals.RedirectUri,
            Notifications = new OpenIdConnectAuthenticationNotifications
            {
                AuthenticationFailed = AuthenticationFailed,
                SecurityTokenValidated = SecurityTokenValidated
            },
            Scope = "openid",
            ResponseType = "id_token",

            // This piece is optional - it is used for displaying the user name in the navigation bar.
            TokenValidationParameters = new TokenValidationParameters
            {
                NameClaimType = "name",
            }
        };
    }

    private async Task SecurityTokenValidated(SecurityTokenValidatedNotification<OpenIdConnectMessage, OpenIdConnectAuthenticationOptions> token)
    {
            var groups = await _metaDataService.GetGroups(token.AuthenticationTicket.Identity.FindFirst("http://schemas.microsoft.com/identity/claims/objectidentifier").Value);

            if (groups?.Value != null && groups.Value.Any())
            {
                foreach (IGroup group in groups.Value.ToList())
                {
                    token.AuthenticationTicket.Identity.AddClaim(
                        new Claim(ClaimTypes.Role, group.DisplayName, ClaimValueTypes.String, "GRAPH"));
                }
            }
    }

    // Used for avoiding yellow-screen-of-death
    private Task AuthenticationFailed(AuthenticationFailedNotification<OpenIdConnectMessage, OpenIdConnectAuthenticationOptions> notification)
    {
        notification.HandleResponse();

        if (notification.Exception.Message == "access_denied")
        {
            notification.Response.Redirect("/");
        }
        else
        {
            notification.Response.Redirect("/error?message=" + notification.Exception.Message);
        }

        return Task.FromResult(0);
    }
}

Мой метод GetGroups запрашивает метод getMemberGroups в API-интерфейсе пользователей.

Затем у меня есть простой вспомогательный метод, чтобы определить, является ли пользователь в роли:

public static bool UserIsInRole(IPrincipal user, string roleName)
{
    var claims = user.Identity as ClaimsIdentity;

    if (claims == null) return false;

    return claims.FindAll(x => x.Type == ClaimTypes.Role).Any(x => x.Value == roleName);
}