Django集成Azure AD角色授权：SAML响应无角色问题求助

一、先配置Azure AD，让角色包含在SAML响应中 #

Azure默认不会自动将用户分配的角色放入SAML断言，需手动配置声明：

• 登录Azure门户，找到对应Django应用的企业应用
• 进入单一登录页面，选择用户属性和声明
• 点击添加新声明：
  • 名称：填写http://schemas.microsoft.com/ws/2008/06/identity/claims/role（和你Django配置中的断言URI一致）
  • 源属性：选择user.assignedroles
  • 保存声明
• 确认目标用户已在用户和组页面被分配了对应应用角色

二、调整Django djangosaml2的配置 #

仅配置属性映射不够，需确保Django能正确接收并解析角色：

1. 在settings.py中完善SAML属性映射：

SAML_ATTRIBUTE_MAPPING = {
    'http://schemas.microsoft.com/ws/2008/06/identity/claims/role': ('groups',),
    # 保留你已有的其他属性映射
}

将角色映射到Django的groups字段，方便后续基于组做权限控制。

2. 开启用户同步开关：

SAML_CREATE_UNKNOWN_USER = True
SAML_UPDATE_USER = True

确保新用户自动创建，已有用户的角色变更能同步到Django。

3. 自定义角色映射逻辑（可选）：
   如果需要将Azure角色转换为Django权限，可编写自定义映射函数：

def sync_azure_roles_to_groups(attributes, user):
    azure_roles = attributes.get('http://schemas.microsoft.com/ws/2008/06/identity/claims/role', [])
    # 清空用户现有组，同步最新Azure角色
    user.groups.clear()
    for role_name in azure_roles:
        group, _ = Group.objects.get_or_create(name=role_name)
        user.groups.add(group)
    user.save()

SAMLAUTH_USER_ATTRIBUTE_MAPPING = {
    'http://schemas.microsoft.com/ws/2008/06/identity/claims/role': sync_azure_roles_to_groups,
}

三、验证SAML响应 #

用浏览器调试工具（如SAML Chrome Panel）捕获SAML响应，检查断言中是否包含role字段。若仍无，排查Azure声明配置：

• 确认源属性选择的是user.assignedroles而非其他字段
• 检查声明的名称URI是否和Django配置完全一致

四、在Django中使用角色权限 #

角色同步完成后，可通过以下方式实现授权：

• 模板中判断用户组：{% if "AdminRole" in user.groups.values_list('name', flat=True) %}
• 视图中用装饰器：@user_passes_test(lambda u: "EditorRole" in [g.name for g in u.groups.all()])
• 基于组的权限分配：在Django admin中给对应组添加模型权限，用户自动继承组权限

内容的提问来源于stack exchange，提问作者Viktor