Azure B2C 应用与用户组关联实现方案咨询

一、无需Graph API的便捷方案 #

• 直接配置应用角色：
  不用单独建组，在Azure B2C的应用注册里添加自定义角色（比如*App1_User*），接着在用户管理页面给目标用户分配该角色。后续用户登录时，令牌里会带上roles声明，通过这个就能判断用户是否有权访问对应应用，这是最直接的绑定方式，不用额外维护组。
• 利用用户流/自定义策略：
  可以在用户流中添加应用相关的自定义声明，或者在自定义策略里通过业务逻辑控制访问。比如给用户加个自定义属性AllowedApps，值设为app1，然后在策略里验证该属性是否匹配当前应用，实现绑定。

二、组绑定的优化操作 #

如果偏好使用组的方式，除了手动在门户建组加用户，还有这些方法：

• 批量导入用户到组：在Azure门户的组管理界面，支持通过CSV文件批量导入用户到指定组，省掉逐个添加的麻烦。
• 动态组（需Azure AD B2C Premium P2）：
  创建动态组时设置规则，比如基于用户的自定义属性（如AssignedApp等于app1），自动把符合条件的用户加入对应组。后续用户属性更新时，组成员会自动同步，不用手动维护。

三、关于Graph API的说明 #

如果需要自动化或批量处理，Graph API确实是高效的选择，但并非唯一方案。常用的操作包括：

• 创建应用角色：POST /applications/{application-id}/appRoles
• 分配用户到应用角色：POST /users/{user-id}/appRoleAssignments
• 创建组并添加用户：POST /groups 配合 POST /groups/{group-id}/members/$ref

内容的提问来源于stack exchange，提问作者Eldos