如何在Azure AD中为ASP.NET Core 5 MVC使用Authorize属性实现RBAC

1. 替换认证服务配置（适配MVC应用） #

你当前使用的AddMicrosoftIdentityWebApiAuthentication是为Web API场景设计的，而ASP.NET Core MVC应用依赖Cookie认证体系，应改用AddMicrosoftIdentityWebApp，同时配置角色声明映射：

using Microsoft.Identity.Web;
using Microsoft.AspNetCore.Authentication.OpenIdConnect;

public void ConfigureServices(IServiceCollection services)
{
    // 注册MVC服务
    services.AddControllersWithViews();

    // 配置Azure AD认证
    services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
        .AddMicrosoftIdentityWebApp(Configuration.GetSection("AzureAd"))
        .EnableTokenAcquisitionToCallDownstreamApi()
        .AddInMemoryTokenCaches();

    // 将Azure AD令牌中的"roles"声明映射为ASP.NET默认的角色声明类型
    services.Configure<OpenIdConnectOptions>(OpenIdConnectDefaults.AuthenticationScheme, options =>
    {
        options.TokenValidationParameters.RoleClaimType = "roles";
    });

    // 可选：添加自定义授权策略（也可直接使用[Authorize(Roles = "SomeRole")]）
    services.AddAuthorization(options =>
    {
        options.AddPolicy("RequireSomeRole", policy => policy.RequireRole("SomeRole"));
    });
}

2. 确认appsettings.json配置完整性 #

确保配置文件包含正确的Azure AD参数：

{
  "AzureAd": {
    "Instance": "https://login.microsoftonline.com/",
    "Domain": "你的租户域名.onmicrosoft.com",
    "TenantId": "你的租户ID",
    "ClientId": "你的应用客户端ID",
    "CallbackPath": "/signin-oidc"
  }
}

3. 应用授权属性 #

现在可以直接在控制器或方法上使用角色授权：

[Authorize(Roles = "SomeRole")]
public IActionResult RestrictedFeature()
{
    return View();
}

// 或使用自定义策略
[Authorize(Policy = "RequireSomeRole")]
public IActionResult AnotherRestrictedFeature()
{
    return View();
}

4. （可选）避免双重认证冲突 #

如果你之前依赖App Service的Easy Auth实现用户组限制，现在启用代码认证后，建议关闭App Service门户中的Authentication / Authorization功能，防止双重认证逻辑导致异常。

问题根源 #

• 初始的InvalidOperationException是因为未配置默认认证方案，添加认证服务后解决了该问题。
• 后续的Access Denied是因为ASP.NET Core默认使用ClaimTypes.Role作为角色声明标识，但Azure AD应用角色存储在令牌的roles字段中，两者未匹配导致授权系统无法识别令牌中的角色信息。通过指定RoleClaimType = "roles"完成映射后，授权逻辑即可正确读取角色数据。

内容的提问来源于stack exchange，提问作者Walaa