Azure OpenID Connect：阻止用户访问Azure门户

嘿，答案很明确：不行，这俩完全是互不干涉的两个层面，具体原因和可行的解决办法我给你理清楚：

• 首先得搞懂ClaimsPrincipal的作用范围：它是你自己应用里的身份标识对象，只负责在你的应用内部做身份验证、授权判断——比如决定用户能不能访问你应用的某个功能页面。它根本触达不了Azure门户（portal.azure.com）的访问控制逻辑，因为门户是Azure自己的核心服务，权限管控完全由Azure AD的原生规则说了算。

• 如果要限制用户访问Azure门户，得从Azure AD的配置层面下手，比如这几个常用方案：

  • 最小权限原则：不给用户分配任何Azure管理角色（默认情况下普通用户本来就没有门户的管理权限，只能查看自己的基本信息）；
  • 配置条件访问策略：直接针对Azure门户这个应用，设置规则禁止特定用户/组登录，或者要求必须满足MFA、特定设备等条件才能访问；
  • 权限管理：通过Azure AD的权限管理功能，精细控制用户能访问的Azure资源和服务，包括完全禁用门户访问。

• 再补个关键点：你应用里的ClaimsPrincipal只是Azure AD颁发的ID Token在本地的映射，它的作用域仅限你的应用内部，和Azure门户的访问控制没有任何关联，所以靠它是没法限制用户进门户的。

内容的提问来源于stack exchange，提问作者Sam