Azure企业应用自定义角色数量限制、性能及授权方案咨询

1. 是否可使用Azure AD认证该应用？ #

完全可以。Azure AD 是面向企业场景的专业身份认证服务，能够无缝对接你的产品团队组件数据管理应用，为企业员工提供统一身份登录能力，完全适配你司的企业级应用场景。

2. 自定义角色数量限制与性能影响 #

• 角色数量限制：Azure AD 中自定义角色定义的默认上限为每个租户500个，但角色分配（将角色关联到用户/组）的上限高达10万条，足以覆盖数千团队的需求。更推荐你采用组+角色的模式：先将同一团队的用户归入对应的Azure AD组，再给组分配角色，无需为每个团队单独创建角色，大幅减少角色定义的数量，更符合大规模团队的权限管理需求。
• 性能影响：只要采用组批量分配角色的方式，几乎不会产生性能问题。Azure AD 针对大规模权限分配场景做了专门优化，常规的认证、授权请求响应速度不会受影响。即便真的需要创建较多角色定义，只要不超过官方上限，也不会出现严重性能损耗，但组分配的方式显然更高效。

3. 选择Azure OIDC还是自行编写授权逻辑？ #

优先采用Azure OIDC 实现授权，理由如下：

• 降低自研成本：无需自行开发令牌签发、验证、权限逻辑等安全相关模块，Azure AD 提供的成熟OIDC 流程可快速集成，节省开发和维护成本。
• 安全性更有保障：Azure AD 作为专业身份服务，内置防攻击、令牌生命周期管理、合规适配等能力，自研授权逻辑容易出现安全漏洞，难以达到同等安全标准。
• 扩展性更强：后续如需扩展多租户支持、多因素认证（MFA）、第三方身份登录等功能，基于Azure OIDC 可快速实现，无需重构整个授权体系。
• 适配场景需求：结合Azure AD 的组、角色或RBAC 模型，可直接实现各团队仅查看自身数据的权限控制——通过令牌中的组信息或角色声明，在应用内完成数据过滤即可，无需额外复杂开发。

内容的提问来源于stack exchange，提问作者fhcat