如何批量邀请用户访问Azure静态Web应用并实现组级授权

你在角色管理页面找不到组授权入口是正常的：Azure静态Web应用（SWA）的门户内置角色管理仅支持单用户邀请，组级别批量授权需要通过配置文件+AAD声明映射的方式实现，具体操作步骤如下：

前提准备 #

• 身份提供商使用Azure AD（仅Azure AD支持组声明映射能力，第三方身份提供商暂不支持该特性）
• 已在Azure AD租户中创建目标授权用户组，所有需要批量授权的用户已加入该组
• 拥有SWA关联的AAD应用注册的编辑权限，以及SWA代码仓库的提交权限

步骤1：配置AAD应用注册返回组声明 #

• 进入Azure门户的「应用注册」服务，找到SWA绑定的AAD应用
• 进入左侧「令牌配置」菜单，点击「添加组声明」
• 选择「安全组」类型，同时勾选「ID令牌」「访问令牌」两个返回场景，保存配置

步骤2：修改SWA路由配置文件 #

编辑你项目根目录下的staticwebapp.config.json文件，添加组授权逻辑，示例配置如下：

{
  "routes": [
    {
      "route": "/*",
      "allowedRoles": [
        "authenticated",
        // 替换为你的AAD用户组的Object ID，可添加多个组ID实现多组授权
        "12345678-1234-1234-1234-1234567890ab"
      ]
    }
  ],
  "auth": {
    "identityProviders": {
      "azureActiveDirectory": {
        "login": {
          // 要求AAD返回用户的组信息
          "loginParameters": ["scope=openid profile email group"]
        }
      }
    }
  }
}

该配置会让SWA在用户登录时，自动校验用户是否属于allowedRoles中列出的AAD组，符合条件的用户无需单独邀请即可访问应用。

步骤3：部署并验证生效 #

• 将修改后的staticwebapp.config.json提交到代码仓库，触发SWA的自动部署
• 用属于目标AAD组的用户账号访问应用，确认登录后可正常访问
• 后续调整授权用户仅需在AAD用户组中添加/移除成员即可，无需修改SWA配置或重新邀请用户

注意：你此前在门户角色管理中单独邀请的用户权限依然有效，和组授权逻辑并行不冲突。

内容的提问来源于stack exchange，提问作者Jari