如何为Azure上的ASP.NET Core MVC .NET 6应用配置Azure AD AppRole授权

问题现象 #

• 本地Visual Studio环境中，Azure AD认证及AppRole授权功能正常：分配了ContainerRestart角色的用户可正常访问带有[Authorize(Role = "ContainerRestart")]特性的视图
• 部署至Azure App Service后，Azure AD认证功能正常，但上述用户访问对应视图时收到访问拒绝提示

排查与修复方案 #

1. 修正Token声明映射配置 #

Azure AD返回的AppRole默认声明为roles，需确保代码中正确映射该声明到角色类型。可通过两种方式调整：

方式一：直接指定角色声明类型

修改AddMicrosoftIdentityWebApp配置中的TokenValidationParameters：

builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(options =>
    {
        options.GetClaimsFromUserInfoEndpoint = true;
        builder.Configuration.Bind("AzureAd", options);
        options.Events.OnTokenValidated = async context =>
        {
            await Task.CompletedTask;
        };
        options.SaveTokens = true;
        // 直接指定Azure AD返回的角色声明名称
        options.TokenValidationParameters.RoleClaimType = "roles";
    })
    .EnableTokenAcquisitionToCallDownstreamApi(initialScopes)
    .AddMicrosoftGraph(builder.Configuration.GetSection("MicrosoftGraph"))
    .AddInMemoryTokenCaches();

方式二：手动映射声明到ClaimTypes.Role

如果需要保留ClaimTypes.Role作为角色类型，可在OnTokenValidated事件中手动映射：

options.Events.OnTokenValidated = async context =>
{
    var claimsIdentity = context.Principal.Identity as ClaimsIdentity;
    if (claimsIdentity != null)
    {
        // 获取Azure AD返回的roles声明
        var roleClaims = claimsIdentity.FindAll("roles");
        if (roleClaims.Any())
        {
            // 将roles声明添加为ClaimTypes.Role类型
            foreach (var roleClaim in roleClaims)
            {
                claimsIdentity.AddClaim(new Claim(ClaimTypes.Role, roleClaim.Value));
            }
        }
    }
    await Task.CompletedTask;
};

注意：原代码中await Task.FromResult(0);无实际作用，替换为await Task.CompletedTask;更规范。

2. 检查App Service的Azure AD认证配置 #

• 登录Azure门户，进入目标App Service的「Authentication」面板
• 选择「Azure Active Directory」提供者，确认获取用户详细信息选项已开启（对应代码中的GetClaimsFromUserInfoEndpoint = true）
• 确保「Token store」已启用，保证角色声明能被正确存储和传递

3. 验证应用配置一致性 #

• 检查App Service「Configuration」中的AzureAd:ClientId、AzureAd:TenantId、AzureAd:ClientSecret（机密客户端场景）等配置项，确保与本地appsettings.json完全一致
• 若使用托管标识，需确认App Service的系统/用户分配标识已被授予访问Azure AD应用角色的权限

4. 验证ID Token中的角色声明 #

• 分别在本地和生产环境获取用户登录后的ID Token，使用JWT解析工具查看是否包含roles声明，且值为ContainerRestart
• 若生产环境ID Token无该声明，需检查Azure AD中应用角色分配：确认目标用户已被分配ContainerRestart角色，且该角色已添加到Web应用的Azure AD注册中

替代方案：使用Azure AD安全组授权 #

若AppRole方案不符合需求，可改用Azure AD安全组实现权限控制：

• 在Azure AD中创建安全组，将需要访问的用户加入组
• 在Web应用的Azure AD注册「Token configuration」中启用「Group claims」，选择「Security groups」
• 代码中使用[Authorize(Roles = "你的安全组名称")]，并将TokenValidationParameters.RoleClaimType设置为groups

内容的提问来源于stack exchange，提问作者Ryan Richardson