Blazor Server基于Entra External ID实现RBAC的可行性及方案咨询

核心结论 #

Entra External ID支持针对外部用户的基于角色的访问控制（RBAC），同时自定义声明也是完全可行的方案，下面是具体实现方式和替代选项：

一、实现RBAC的步骤 #

1. 在Entra External ID中配置角色
   • 可使用Entra内置的来宾角色（如来宾参与者），也可以创建自定义角色并分配给外部用户。注意外部用户默认属于来宾用户组，需确保角色权限适配来宾身份的限制。
2. 在Blazor Server中映射角色声明
   在Program.cs的OpenID Connect配置中，确保角色声明被正确解析：

   builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
       .AddMicrosoftIdentityWebApp(builder.Configuration.GetSection("AzureAd"))
       .EnableTokenAcquisitionToCallDownstreamApi()
       .AddInMemoryTokenCaches();
   
   // 映射Entra返回的roles声明
   builder.Services.Configure<OpenIdConnectOptions>(OpenIdConnectDefaults.AuthenticationScheme, options =>
   {
       options.ClaimActions.MapJsonKey(ClaimTypes.Role, "roles");
   });
   

3. 在Blazor组件中应用角色授权
   直接使用Authorize特性指定角色：

   @page "/admin"
   @attribute [Authorize(Roles = "Admin")]
   
   <h1>Admin Dashboard</h1>
   

   或者在代码逻辑中检查角色：

   if (User.IsInRole("Admin"))
   {
       // 执行管理员操作
   }
   

二、自定义声明的使用 #

自定义声明是RBAC的灵活替代方案，完全支持：

1. 在Entra External ID中添加自定义声明
   • 可以通过用户属性直接添加，或者创建自定义用户流/自定义策略来注入声明。
2. 在Blazor中映射并使用自定义声明
   同样在Program.cs中映射声明：

   options.ClaimActions.MapJsonKey("custom_permission", "custom_permission");
   

   然后创建自定义授权策略：

   builder.Services.AddAuthorization(options =>
   {
       options.AddPolicy("CanManageContent", policy =>
           policy.RequireClaim("custom_permission", "manage_content"));
   });
   

   在组件中应用策略：

   @page "/content-manager"
   @attribute [Authorize(Policy = "CanManageContent")]
   

三、其他替代方案 #

• 基于组的权限控制：将外部用户加入Entra的组，映射groups声明后，通过组来做授权，逻辑和角色类似。
• 数据库存储权限：如果需要动态调整权限，可以在应用数据库中维护用户（通过Entra返回的oid或sub标识）的权限列表，登录后将这些权限添加到ClaimsPrincipal中，再通过自定义策略实现访问控制。

内容的提问来源于stack exchange，提问作者user2832577