SCIM：如何在从 Azure AD 进行配置时限制组补丁请求中的组类型成员

Question

我正在从 Azure AD 实施 SCIM 组配置。但我不支持嵌套组。 以下是来自 Azure AD 的补丁调用（添加成员时）。

{
"schemas": [
    "urn:ietf:params:scim:api:messages:2.0:PatchOp"
    ],
"Operations":[{
    "op":"add",
    "path":"members",
    "value":[{
       "ref":"https://example.com/v2/Users/45",
       "value": "45"
     }]
   }]
}

我无法识别该成员是属于用户类型还是组类型资源。 请帮助我如何在代码中限制这一点，或者有什么方法可以直接从 Azure AD 限制它不发送组类型成员。

Answer 1

从 Azure AD Enterprise 应用程序的配置中，转至配置 -> 映射 -> 配置 Azure Active Directory 组 -> 显示高级选项（屏幕底部） -> 编辑 customappsso 的属性列表

这将带您进入架构编辑器 UI，用于 AAD 表示组对象的 SCIM 应用程序架构。在“引用对象属性”列的最右侧，您将看到成员属性有 2 个选定值。打开下拉菜单并取消选择 urn:ietf:params:scim:schemas:core:2.0:Group，然后保存。

那应该有效。如果没有，请告诉我（或者为了更快的周转，请从 Azure 门户打开支持案例）。

Answer 2

如 [RFC 7643 第 3.3 2.4 节][1] 中所述

[1]: https://www.rfc-editor.org/rfc/rfc7643.html#section-2.4 子属性

$ref

允许您将多值属性中的资源类型标识为

members

。只需在参考值中搜索单词

Users

或

Groups

即可识别他的类型。顺便说一句，属性名称是

$ref

而不是

ref

。