纯云远程企业如何使用Azure AD存储员工自定义及敏感数据

操作问题修复方案 #

• 关于Graph API读取生日字段返回Error message: This operation target is not yet supported.报错：该问题为权限配置缺失导致，生日属于用户隐私类内置字段，你需要给调用Graph API的Java应用授予应用级User.Read.All权限（需租户管理员同意），如果是委托权限场景需追加User.ReadWrite.All权限；如果使用中国区Azure租户，还需在Azure AD管理中心的用户属性设置页开启「允许组织访问用户生日数据」开关。
• 关于External Identities自定义属性找不到门户编辑入口：External Identities -> Custom User Attributes路径创建的属性仅适配B2C租户、外部协作身份场景，内部员工用户的自定义属性需通过**目录扩展（directory extensions）或架构扩展（schema extensions）**路径创建。两类员工自定义属性均没有内置的Azure AD门户编辑入口，你可以直接通过现有Java管理后台调用Graph API完成读写操作，无需适配额外的门户操作逻辑。

官方推荐员工数据存储方案 #

社保号这类高度敏感的个人可识别信息（PII），官方不建议存储在Azure AD的内置/扩展属性中：Azure AD的核心定位是身份目录，而非业务敏感数据存储库，其加密粒度、审计能力、数据生命周期管理规则无法满足超敏感PII数据的合规要求。

• 生日、入职日期这类非核心敏感的身份关联属性，若无需对接HR合规系统做全生命周期管控，可以创建目录扩展属性存储在Azure AD中，读写逻辑和你当前操作displayName、givenName等标准字段的逻辑完全一致。
• 你当前使用对接了Azure AD身份验证的Azure PostgreSQL存储员工元数据的方案，属于官方推荐的最佳实践范畴，只要满足三个合规要求即可：
  • 所有数据库访问严格使用Azure AD身份验证，禁用本地数据库静态账号密码
  • 敏感字段（社保号、生日等）开启传输加密+静态加密，高合规要求场景可追加字段级加密
  • 数据库操作审计日志与Azure AD操作日志统一归集存储，满足等保、行业合规的审计要求

实操建议 #

• 优先按敏感等级拆分数据存储位置：社保号、薪资、银行卡号等极高敏感数据存入Azure PostgreSQL并做最小权限访问控制，仅开放给HR管理类系统调用；
• 入职日期、部门归属、工位号这类通用身份属性，创建目录扩展属性存入Azure AD，方便所有需要身份上下文的业务系统直接通过Graph API读取，无需额外对接业务数据库。

内容的提问来源于stack exchange，提问作者Gene McCulley