Azure App Service中Service Principal角色授权失效问题排查

1. 修正应用角色的成员类型 #

• 进入Azure AD的目标应用注册，打开应用角色页面，编辑你创建的Reader角色：
  • 确保允许的成员类型同时勾选用户/组和应用程序，保存修改。
• 重新为Service Principal分配该角色（等待几分钟确保分配生效）。

2. 验证Service Principal的API权限配置 #

• 在应用注册的API权限页面，确认Service Principal已添加应用权限（而非委派权限），且该权限对应你创建的应用角色，同时已完成管理员同意。
• 注意：客户端凭证流仅支持应用权限，委派权限仅适用于用户登录场景。

3. 确保Logic App获取Token的Scope正确 #

• Logic App中调用API时，获取Azure AD Token的Scope必须设置为：api://<你的App Service关联的应用注册Client ID>/.default
  • 该Scope会让Azure AD返回Service Principal被分配的所有应用角色声明。

4. 调整Microsoft.Identity.Web的配置（无需自定义中间件） #

• 在Program.cs中，使用AddMicrosoftIdentityWebApi时，确保正确配置角色声明类型：

builder.Services.AddMicrosoftIdentityWebApiAuthentication(builder.Configuration)
    .Configure(options =>
    {
        options.TokenValidationParameters.RoleClaimType = "roles";
    });

• 同时，在appsettings.json的AzureAd配置中，确保Audience设置正确（即应用注册的Client ID或API ID URI）：

"AzureAd": {
    "Instance": "https://login.microsoftonline.com/",
    "Domain": "<你的租户域名>",
    "TenantId": "<你的租户ID>",
    "ClientId": "<App Service关联的应用注册Client ID>",
    "Audience": "<API的ID URI，比如api://your-client-id>"
}

5. 检查App Service身份验证设置 #

• 进入App Service的身份验证页面，选择Microsoft身份提供商：
  • 确保**允许匿名请求（无操作）**未勾选，或你的API路由已配置为需要授权。
  • 确认令牌存储已启用，保证角色声明能被正确传递到应用。

完成以上步骤后，Service Principal通过Logic App调用API时，Token中会包含roles声明，[Authorize(Roles = "Reader")]特性即可正常生效。

内容的提问来源于stack exchange，提问作者donatasj87