使用Angular+ADALService对接Azure AD时组内用户无法登录咨询

我之前在做Angular对接Azure AD时也碰到过几乎一模一样的问题，结合ADAL和Azure AD的配置逻辑，大概率是这几个环节没配置到位，咱们一步步来排查和修复：

1. 确保ADAL能获取到用户的组Claims #

ADAL默认不会自动从Azure AD拉取用户的组信息，这是最常见的坑。你需要从两个层面配置：

• 代码配置：在ADAL的初始化配置里，添加extraQueryParameters指定要获取组声明：

const adalConfig: adal.Config = {
  tenant: '你的租户ID',
  clientId: '你的应用客户端ID',
  redirectUri: window.location.origin,
  extraQueryParameters: 'groupMembershipClaims=SecurityGroup' // 若需要包括Office 365组，可设为All
};

• Azure门户配置：进入应用注册的「令牌配置」页面，点击「添加组声明」，选择「安全组」（或你需要的组类型），保存后Azure AD才会在ID Token中返回用户所属的组ID列表。

2. 配置应用的组读取权限 #

虽然你给组分配了Default Access角色，但应用本身需要有权限读取用户的组信息才能完成验证：

• 进入应用注册的「API权限」页面，添加Microsoft Graph的权限：
  • 如果你是用户登录时验证组，选择「委托权限」下的GroupMember.Read.All或User.Read.All；如果是后台服务验证，选择「应用权限」下的对应权限。
  • 关键一步：点击「授予管理员同意」，否则普通用户登录时权限不会生效，Azure AD会拒绝返回组信息。

3. 验证组分配的生效状态 #

有时候组分配后不会立即同步，你可以做这几件事：

• 等待15-30分钟让Azure AD完成权限同步
• 让用户退出所有Azure AD相关会话（包括其他微软服务），重新登录以获取新的令牌
• 进入Azure AD的「企业应用」找到你的应用，查看「用户和组」列表，确认目标组已被分配且状态为「已启用」

4. 检查ADAL登录逻辑的组解析 #

确保你的代码正确解析了ID Token中的组信息，比如：

// 获取当前用户的组列表
const userInfo = this.adalService.userInfo;
const userGroups = userInfo.profile.groups; // 确认这个数组存在且包含目标组的ID

// 如果需要验证用户是否在允许的组内
const allowedGroupId = '你的目标组ID';
const hasAccess = userGroups?.includes(allowedGroupId);
if (!hasAccess) {
  // 这里可以处理无权限的情况，比如跳转到提示页
}

如果userGroups为空，那基本就是前面的组声明或权限配置没到位。

5. 额外提醒：ADAL已停止维护，建议迁移到MSAL #

顺便提一句，ADAL.js已经停止更新了，微软官方推荐使用MSAL.js v2来对接Azure AD，它对SPA的支持更好，组声明和权限管理也更灵活。如果后续碰到更多问题，考虑迁移会更省心。

内容的提问来源于stack exchange，提问作者user1220617