Azure AD配置声明映射后令牌未返回EmployeeID声明问题咨询

以下是按出现概率从高到低排序的常见原因及对应解决方法：

• 未开启应用接受自定义映射声明的开关
  无论声明映射策略配置是否正确，必须先在对应应用注册的清单文件中将acceptMappedClaims字段设置为true，Azure AD才会向该应用颁发经过自定义映射的声明。该字段默认值为false，是这类配置不生效的最常见原因。如果应用使用v1.0令牌端点，还需要确认清单中你实际使用的授权流（比如隐式流）对应的开启开关已经打开。
• 策略绑定对象错误
  声明映射策略必须绑定到当前租户下对应应用的服务主体（Service Principal）对象，绑定到应用注册（Application）对象完全不会生效。你可以调用Graph API查询目标服务主体的claimsMappingPolicies关联属性，确认返回的策略ID和你创建的employeeid映射策略ID完全一致，不要通过查询Application对象的关联策略做校验。
• 测试用户的employeeid属性为空
  Azure AD不会在令牌中返回值为空的声明。你需要调用Graph API查询测试所用账号的用户属性，确认employeeId字段确实已填充有效值，而非null或空字符串。
• 策略配置字段存在错误
  重点检查策略JSON的两个核心字段：
  • ClaimsSchema中对应用户属性的Source值必须精确为employeeId，注意大小写，不要写成全小写的employeeid或其他拼写形式
  • 策略的Version字段要和你使用的令牌端点匹配：v1.0端点对应值为1，v2.0端点对应值为2，版本不匹配时策略不会被加载应用
• 拿到的是缓存的旧令牌
  修改策略和绑定关系后，Azure AD和客户端侧都可能留存旧令牌缓存。不要用已有的刷新令牌换取新令牌，需要清空客户端所有令牌缓存，在授权请求中携带prompt=login参数强制用户重新登录，走完整的授权流程获取全新生成的令牌，才能看到新增的声明。
• 操作权限不足导致配置静默失败
  创建声明映射策略、绑定策略到服务主体的操作，要求操作账号至少持有应用程序管理员或全局管理员目录角色。如果用低权限账号操作，可能返回2xx成功状态码但实际配置未落地，需要用高权限账号重新核对绑定关系，必要时重新创建策略并完成绑定。

内容的提问来源于stack exchange，提问作者Daniel Vega Ruiz