在 Azure 中进行 OIDC 身份验证后我可以担任角色吗？

Question

我目前正在开发一个 Azure 项目，其中使用 Azure Active Directory (Azure AD) 实施 OIDC (OpenID Connect) 身份验证。我的目标是了解在用户或应用程序成功通过身份验证后如何管理角色和权限。

在AWS中，我可以在身份验证后担任角色，从而允许动态权限管理。但是，我不确定这在 Azure 中是如何工作的。这是我的具体问题：

• Azure 中是否有等效机制可以在 OIDC 身份验证后“承担角色”？
• 通过 OIDC 进行身份验证后，如何动态管理 Azure 中的用户或应用程序的权限？
• 是否有我应该注意的在 Azure AD 中分配角色的最佳实践？

任何见解、文档参考或示例将不胜感激！

Answer 1

Azure 中是否有等效机制可以在 OIDC 身份验证后“承担角色”？

OpenID Connect 构建于 OAuth 2.0 之上，用于身份验证。对于授权，自然可以使用OAuth 2.0。

在 Azure 中，OAuth 2.0 与 API 管理 (APIM) 配合使用效果最佳。

应用程序注册

• 在 Azure 中注册应用程序
• 公开API
• 添加应用程序角色

API管理

• 添加“validate-azure-ad-token”入站处理策略，为 API 端点操作启用 OAuth 2.0 授权

客户

• POST 调用已注册应用程序的 TOKEN 端点以获取 JWT 访问令牌
• 对 APIM 网关 URL 进行 GET 调用，请求标头中带有

  Authorization Bearer {access token}

  ，以从资源服务器检索任何资源。资源服务器可以是任何计算资源，例如App Service。

这只是其中一种解决方案供您参考。