SAML认证时如何获取Azure应用中用户的全部关联角色？

针对你采用Salesforce JIT（即时预配）+Azure预配方案时，遇到Azure仅返回单个用户角色的问题，可通过以下配置步骤实现返回用户在应用中的所有关联角色：

1. 配置Azure AD应用的令牌声明 #

• 登录Azure门户，找到你的Salesforce企业应用，进入单一登录 > 用户属性 & 声明。
• 添加组声明：选择对应组类型（安全组/所有组），设置合适的源属性（如objectId或sAMAccountName）后，勾选将组映射到应用角色选项——这会让Azure自动将用户所属组对应的应用角色注入到令牌的roles数组中，而非仅返回单个角色值。
• 确认roles声明的「发出声明」处于开启状态，且未设置任何筛选条件限制返回的角色数量。

2. 验证组与应用角色的映射关系 #

• 在应用的用户和组页面，检查用户所属的每个组是否都已分配了对应的Salesforce应用角色。一个组可关联多个应用角色，当用户同时属于多个组时，所有组对应的角色都会被纳入roles声明数组。

3. 适配Salesforce JIT的多角色处理逻辑 #

• 在Salesforce的SAML配置中，调整断言映射规则，支持解析令牌中的roles数组。将该数组映射到Salesforce的权限集或角色字段，确保JIT预配过程中能同步用户的所有关联在线的会初始Disc### UN卧槽-好， repeated Consider便捷 Solutions，确保JIT预配过程中能同步用户的所有关联角色。

相关官方文档指引 #

• Azure AD方面：参考「Azure AD 应用程序中的声明自定义」章节，重点关注组声明与角色映射的配置细节。
• Salesforce方面：参考「Salesforce 即时用户预配 (JIT) 与 Azure AD 集成」文档，其中包含多角色场景的配置示例。

内容的提问来源于stack exchange，提问作者Matthew H