基于Microsoft Identity Platform与MSAL实现自定义应用内权限控制问询

核心思路 #

利用Azure AD安全组映射应用内的设备权限集合，通过MSAL获取用户的组归属信息，在应用内完成权限校验，实现用户与设备管控权限的解耦管理。

具体实现步骤 #

1. 创建对应权限的Azure AD安全组

根据应用内的设备管控需求，创建匹配的安全组：

• 若按用户权限组合划分：创建「冷水机+空压机运维组」「传送带运维组」，将用户A加入前者，用户B加入后者。
• 若按单设备权限划分：创建「冷水机管控组」「空压机管控组」「传送带管控组」，用户A加入前两个组，用户B加入最后一个组。

推荐按用户实际权限组合建组，减少后续权限合并的逻辑复杂度。

2. 配置应用注册，获取用户组信息

默认MSAL返回的ID Token不包含组信息，需配置应用注册以获取组声明：

1. 进入Azure AD的应用注册，找到你的自定义应用。
2. 切换到「令牌配置」页面，点击「添加组声明」。
3. 选择「安全组」，设置返回类型（建议选组ID，比组名称更稳定），保存配置。
4. 调整MSAL登录请求的scope，确保包含profile（ID Token会返回组信息）；若需要更详细的组数据，可添加Directory.Read.All权限（需管理员同意），后续调用Microsoft Graph API获取组详情。

3. 建立组与应用内权限的映射

在应用的配置文件（如appsettings.json）中，配置Azure AD组ID与可管控设备的对应关系：

"AzureADGroupPermissions": {
  "xxxx-xxxx-xxxx-xxxx-xxxx": ["冷水机", "空压机"], // 冷水机+空压机运维组ID
  "yyyy-yyyy-yyyy-yyyy-yyyy": ["传送带"] // 传送带运维组ID
}

如果是单设备组的方式，映射关系可拆分为：

"AzureADGroupPermissions": {
  "group-id-chiller": ["冷水机"],
  "group-id-compressor": ["空压机"],
  "group-id-conveyor": ["传送带"]
}

4. 应用内权限校验逻辑

用户登录后，从ID Token或Graph API提取组信息，完成权限校验：

• 从ID Token获取组：解析ID Token的groups字段，得到用户所属的组ID列表。
• 从Graph API获取组：若ID Token未包含足够组信息，用MSAL获取的访问令牌调用GET /me/memberOf接口，筛选出安全组的ID或名称。
• 权限匹配：遍历用户的组ID，从配置中匹配对应的设备权限，合并为用户的最终可管控设备列表。
• 业务校验：在设备控制页面渲染、接口访问时，检查当前操作的设备是否在用户的权限列表中，若无则拦截操作。

5. 优化与注意事项

• 权限动态更新：调整用户权限时，直接在Azure AD中修改用户的组归属，无需修改应用代码，实现权限的集中管理。
• 缓存组信息：若调用Graph API获取组，建议缓存组数据（如用Redis），减少API调用次数，提升应用性能。
• 避免权限溢出：确保应用仅读取必要的组信息，不要请求超出需求的目录权限；关键操作（如设备启停）需做二次权限校验。
• 权限审计：可通过Azure AD的组活动日志，追踪用户的权限变更记录，满足合规需求。

内容的提问来源于stack exchange，提问作者Oxymoron