如何在B2C用户令牌中添加群组声明？

Question

目前我们在Azure B2C租户中有一个应用程序注册。我们希望将 Group 声明作为 B2C 用户令牌的一部分包含在内。

尝试过以下方法

• 将应用程序注册清单更新为

  "groupMembershipClaims": "All"

  ，但仍然看不到群组声明。
• 通过添加

  <OutputClaim ClaimTypeReferenceId="groups"/>

  尝试使用自定义策略。

*不想直接跳到图方法，如果所有门都关闭，那么我们可以使用它。 *

Answer 1

注意：Azure AD B2C 不像 Azure AD 令牌配置中那样支持令牌中的组声明。您需要使用 Microsoft Graph API 调用。

• Azure AD B2C 通过 IEF 处理以颁发令牌。
• 因此，要获取组声明，您必须将其添加为自定义策略中的输出声明。
• 并且您需要通过自定义策略调用 Microsoft Graph API 以获取组声明作为输出声明。

使用下面的通过 RESTful 技术配置文件进行 Microsoft Graph API 调用来获取用户的组成员身份。请参阅此 MsDoc 在 Azure Active Directory B2C 自定义策略中定义 RESTful 技术配置文件。

对于样本：

https://graph.microsoft.com/v1.0/users/UserObjID/memberOf/microsoft.graph.group?$select=displayName

• 将用户的对象 ID 作为输入声明传递到 RESTful 技术配置文件。
• 将其配置为以字符串集合的形式返回组声明。
• 这可以添加到令牌中返回的声明中。

参考：

在 Azure AD B2c 中获取 ID 令牌中的组声明 - Microsoft 问答，作者：AmanpreetSingh-MSFT