ASP.NET Framework中Azure AD基于角色的授权失效求助

一、先排查Azure AD端的应用角色配置 #

• 确认应用角色定义：登录Azure门户，进入应用注册->你的应用->应用角色，检查SMTRole和ITRole的配置：
  • 成员类型必须是安全组（不能是用户）
  • 两个角色的值要和代码中[Authorize(Roles = "...")]里的字符串完全一致（大小写敏感）
• 检查组角色分配：进入企业应用->你的应用->用户和组，确认：
  • SMT-Report组仅被分配SMTRole角色，无其他角色
  • IT-Report组仅被分配ITRole角色，无其他角色
  • 没有给单个用户直接分配两个角色的情况

二、验证用户实际获取的声明 #

添加一个测试接口，查看当前用户的所有声明，确认角色是否正确下发：

public ActionResult CheckClaims()
{
    var claimList = User.Claims.Select(c => $"{c.Type}: {c.Value}");
    return Content(string.Join("<br/>", claimList));
}

访问该接口后，重点查看是否存在http://schemas.microsoft.com/ws/2008/06/identity/claims/role类型的声明，且每个用户仅拥有对应组的角色值：

• 如果用户同时拥有两个角色声明：说明Azure AD的角色分配有误，回到第一步重新检查组分配
• 如果用户只有对应角色，但授权仍失效：说明ASP.NET Framework未正确识别角色声明

三、修复ASP.NET的角色声明识别问题 #

1. 检查web.config的身份验证配置 #

确保system.identityModel节点中没有错误映射声明类型，示例正确配置：

<system.identityModel>
  <identityConfiguration>
    <audienceUris>
      <add value="https://your-app-url" />
    </audienceUris>
    <issuerNameRegistry type="System.IdentityModel.Tokens.ConfigurationBasedIssuerNameRegistry, System.IdentityModel">
      <trustedIssuers>
        <add thumbprint="你的Azure AD颁发者证书指纹" name="https://sts.windows.net/你的租户ID/" />
      </trustedIssuers>
    </issuerNameRegistry>
    <!-- 确保没有将组声明错误映射为角色 -->
  </identityConfiguration>
</system.identityModel>

2. 自定义ClaimsAuthenticationManager确保角色被识别 #

如果声明正确但授权失效，添加自定义声明管理器，将role声明同步到ClaimsPrincipal的Roles集合：

using System.Collections.Generic;
using System.Linq;
using System.Security.Claims;
using System.Security.Principal;

namespace PowerBIEmbedded_AppOwnsData
{
    public class RoleClaimsManager : ClaimsAuthenticationManager
    {
        public override ClaimsPrincipal Authenticate(string resourceName, ClaimsPrincipal incomingPrincipal)
        {
            if (!incomingPrincipal.Identity.IsAuthenticated)
                return base.Authenticate(resourceName, incomingPrincipal);

            // 获取所有role声明
            var roleClaims = incomingPrincipal.Claims.Where(c => c.Type == ClaimTypes.Role).ToList();
            if (!roleClaims.Any())
                return incomingPrincipal;

            // 重新创建Identity，将角色添加到Roles集合
            var identity = new ClaimsIdentity(
                incomingPrincipal.Identity,
                roleClaims.Select(c => c.Value)
            );
            
            return new ClaimsPrincipal(identity);
        }
    }
}

然后在web.config中注册这个管理器：

<system.identityModel>
  <identityConfiguration>
    <!-- 其他配置 -->
    <claimsAuthenticationManager type="PowerBIEmbedded_AppOwnsData.RoleClaimsManager, PowerBIEmbedded_AppOwnsData" />
  </identityConfiguration>
</system.identityModel>

四、清除缓存重新测试 #

• 让测试用户完全退出登录，清除浏览器缓存
• 重新登录后，分别访问EmbedReport和EmbedReport1接口，验证权限是否生效

内容的提问来源于stack exchange，提问作者Harmoniek