Azure AD Client Credential Flow生成AccessToken如何加自定义UPN claim值

首先明确核心结论：Azure AD原生没有提供一键配置入口，直接给Client Credentials流的令牌注入固定自定义值的UPN claim，但可以通过官方支持的声明映射能力实现该需求，不过需要先明确该场景的协议适配性问题。

• 底层逻辑说明：Client Credentials授权流本身是为无用户参与的服务间调用设计的，协议层面不存在用户身份上下文，因此Azure AD默认不会在该流签发的令牌中填充upn这类用户身份相关的claim，这和IdentityServer4的默认行为是一致的。
• 固定UPN值注入的落地方法：
  1. 先给作为资源方的应用（也就是需要调用的上游API对应的Azure AD应用注册）配置可选声明，勾选允许在Client Credentials流签发的令牌中返回upn声明。
  2. 通过PowerShell命令创建自定义声明映射策略，在策略中指定：当指定客户端服务主体走Client Credentials流请求该资源API的访问令牌时，自动向令牌注入固定值的upn claim，再把该策略关联到对应的客户端服务主体即可生效。
     配置完成后，该指定客户端用Client Credentials流拿到的访问令牌，就会直接携带预设好的自定义UPN值。
• 更符合协议规范的替代方案：
  如果业务场景本质是需要携带用户身份完成授权校验，不要在Client Credentials流里硬注入UPN，直接使用Azure AD原生支持的On-Behalf-Of（委托授权，即你提到的Delegation Grant）流即可：该流本身就是为服务代表用户调用下游API的场景设计的，签发的令牌会自动携带真实用户上下文的UPN claim，不需要额外做固定值配置，完全符合OAuth协议规范，也不存在硬编码用户标识带来的身份伪造风险。

注意：在无用户上下文的Client Credentials流中注入固定UPN属于非标准用法，存在明确安全隐患：一旦客户端凭据泄露，攻击者可以直接以你配置的固定用户身份访问所有依赖UPN做授权校验的API，生产环境使用必须配套额外的客户端合法性校验、全链路访问审计逻辑。

内容的提问来源于stack exchange，提问作者Pinkesh Patel