如何为Azure Static Web Apps添加Azure AD/MSAL企业身份认证

可行性结论 #

该需求完全可以实现。Azure Static Web Apps（以下简称SWA）原生支持Azure AD身份验证能力，无需修改现有mkdocs生成的HTML/CSS静态资源，也无需手动编写MSAL校验逻辑，即可实现仅企业内部用户登录访问的管控要求。

核心实现逻辑 #

SWA的身份校验在边缘访问层完成，用户请求到达静态资源前就会触发身份验证拦截，未登录用户会被自动重定向到Azure AD登录页，校验通过后才能访问站点内容。

具体配置步骤 #

• 在企业Azure AD租户中注册应用，获取租户ID、应用客户端ID，将SWA站点域名配置为应用的回调地址，确保仅本租户用户可申请该应用的访问权限。
• 在mkdocs项目的静态资源输出根目录下新增staticwebapp.config.json配置文件，参考以下示例配置全局访问规则与Azure AD集成参数：

{
  "routes": [
    {
      "route": "/*",
      "allowedRoles": ["authenticated"]
    }
  ],
  "responseOverrides": {
    "401": {
      "statusCode": 302,
      "redirect": "/.auth/login/aad"
    }
  },
  "auth": {
    "identityProviders": {
      "azureActiveDirectory": {
        "registration": {
          "openIdIssuer": "https://login.microsoftonline.com/你的企业Azure AD租户ID/v2.0",
          "clientId": "你在Azure AD注册应用的客户端ID"
        }
      }
    }
  }
}

配置完成后替换文件中的企业Azure AD租户ID、应用客户端ID为实际值即可。

• 重新发布SWA站点，配置生效后即可验证访问逻辑：未登录用户访问任意路径都会跳转到企业Azure AD登录页，输入企业邮箱密码完成身份校验后才能正常访问文档内容。

可选增强配置 #

如果需要进一步缩小访问范围，可在Azure AD应用配置中开启「用户分配 required」选项，开启后只有被管理员主动分配了该应用访问权限的企业用户/用户组才能登录访问站点，避免全租户所有用户都可访问的情况。

内容的提问来源于stack exchange，提问作者PrayingMantis