Azure Active Directory 面向应用场景的自定义角色与权限管理问题咨询

问题1：将「Technician」设置为Azure AD组并分配自定义权限的可行性 #

该方案完全可行，也是目前企业级权限管控的主流实践之一：

• 操作流程：先在Azure AD中创建名为「Technician」的安全组，再将你定义的firmware.upgrade、product.view等自定义权限（需先将这些权限注册为对应应用的自定义权限项）分配给该组即可。组内所有成员会自动继承组的权限，后续人员变动仅需调整组成员，无需反复修改权限分配规则，运维成本极低。
• 注意事项：如果用于应用接口层面的权限校验，你需要在应用代码中解析Azure AD返回的token中的groups声明，确认用户属于「Technician」组后再放行对应权限的接口请求；如果租户用户体量较大，建议提前开启组声明映射，避免token中组信息超限被截断。

问题2：Application Roles对跨应用角色场景的适配性 #

默认情况下Application Roles不适配跨应用共用的场景，原因是Application Roles是应用级资源，你在A应用下定义的Application Role仅能在A应用的权限校验逻辑中使用，无法直接复用给其他业务应用。
如果要实现跨应用共用角色的需求，可以根据你的业务场景选以下两种方案：

• 优先选择上文提到的Azure AD安全组方案：所有业务应用统一校验用户所属的安全组，角色权限的分配统一在Azure AD侧管理，所有应用共用一套角色分组规则，适配绝大多数中小规模的跨应用权限管控场景。
• 若必须使用Application Roles的能力，可以先注册一个全局权限管理中枢应用，在该应用下定义所有跨应用共用的Application Roles（包含「Technician」），之后所有业务应用都信任该中枢应用的token，解析token中的roles声明做权限校验，该方案更适配需要细粒度权限层级管控、权限审计要求高的场景。

最佳实践提示：如果你的跨应用角色数量少于20个、人员变动频繁，优先选择Azure AD安全组方案，运维成本最低。

内容的提问来源于stack exchange，提问作者Katie P