ドメイン管理者がアプリケーションに権限を付与することなく、現在ログオンしているユーザーのAzure ADグループを取得するにはどうすればよいですか?

2
Antoine Lennartz 2019-03-20 20:03.

具体的には、アプリケーションを登録した小さなAzureADがあります。アプリケーションは、ユーザーが自分の企業アカウントでログインできるようにするため、マルチテナントとしてマークされています。新しいAADテナントのオンボーディングプロセスで、アプリに特別な権限を付与するために管理者を要求したくないため、管理者の同意を必要としない委任されたアクセス権を利用してログインするユーザーのグループメンバーシップを取得したいと思います。権限。

これが私が試したことです:

トークンで直接情報を取得する

groupMembershipClaimsアプリケーションマニフェストのフィールドをここにAll記載されているように構成する。トークン内のグループを取得できます。これは、管理者の同意なしに実行できます。実際、必要な委任された権限は、ユーザーのログインだけです。openid

ただし、このアプローチでは、200未満のグループのメンバーであるユーザーのグループを取得することに制限されます。それ以外の場合は、何も取得せず、代わりにAzure GraphAPIへのエンドポイントを取得して取得できます。

これは、2番目のアプローチにつながります。

Microsoft GraphAPIの使用

残念ながら、古い Azure GraphAPIと新しい MicrosoftGraph APIの両方で、グループを取得するために管理者の同意を得たアクセス許可が必要なようです。

ユーザー向けのドキュメント:getMemberGroups呼び出しには、User.Readこの呼び出しを行うための委任されたアクセス許可が必要であると記載されています。ただし、これは機能せずDirectory.Read.All、実際に機能する最も許容度の低い許可です。GitHubのドキュメントの問題を参照してください。

ドキュメントの履歴を見ると、これはドキュメントの問題ではなく、既知のバグと見なされていたことがわかります。さらに戻ると、少なくとも両方User.ReadGroup.Read.All一緒に必要であったことを意味しているようです。

これは私をちょっと立ち往生させます。理想的には、200を超えるケースではなく、すべてのケースでグラフAPIを使用することをお勧めします。そうしないと、マイクロソフトが制限を設けているにもかかわらず、トークンが一部のuscaseに対して大きくなりすぎる可能性があるためです。この種のクエリには管理者の同意が必要です。

他に何かアイデアはありますか?

1 answers

1
Philippe Signoret 2019-03-21 06:13.

現在(2019-03-20)、委任されたアクセス許可Directory.Read.Allに同意するAzure ADディレクトリ管理者なしで、サインインしたユーザーのグループメンバーシップ情報を取得する方法はありません。(このシナリオでは、権限の低いアクセス許可をサポートする計画がありますが、デフォルトでは管理者の同意が必要な場合があります。)

デフォルトで現在ユーザーが同意できる権限のみをリクエストしているため、すべてのユーザーがアプリを使用できると想定してアプリケーションを構築しないでください。多くの組織はユーザーの同意を完全に無効にしており、将来、どのユーザーがどのアクセス許可に同意できるかは、組織ごとに変わることが予想されます。

私の推奨事項は次のとおりです。

  1. サインインするためにユーザーを送り出す前に、組織のポリシーでサインインが許可されていない可能性があることを明確にします(その場合は、ITチームに連絡することをお勧めします)。(将来的には、「申し訳ありませんが、同意できません」というエラーに直面したユーザー向けのオプションが増える予定です...)
  2. User.Read(およびグループの主張)のみを要求することから始めて、アプリのエクスペリエンスの後半でDirectory.Read.Allに「ステップアップ」することだけを検討してください。これにより、ユーザーが少なくともサインインできる可能性が高くなり(保証はされません)、ITチームにアプリのレビューを依頼する方法についてより良いガイダンスを提供できる可能性があります。

にいくつかの追加のガイダンスがあります: https://docs.microsoft.com/en-us/azure/active-directory/develop/v2-permissions-and-consent#using-the-admin-consent-endpoint

Related questions

MORE COOL STUFF

Reba McEntire は、彼女が息子の Shelby Blackstock と共有する「楽しい」クリスマスの伝統を明らかにしました:「私たちはたくさん笑います」

Reba McEntire は、彼女が息子の Shelby Blackstock と共有する「楽しい」クリスマスの伝統を明らかにしました:「私たちはたくさん笑います」

Reba McEntire が息子の Shelby Blackstock と共有しているクリスマスの伝統について学びましょう。

メーガン・マークルは、自然な髪のスタイリングをめぐってマライア・キャリーと結ばれました

メーガン・マークルは、自然な髪のスタイリングをめぐってマライア・キャリーと結ばれました

メーガン・マークルとマライア・キャリーが自然な髪の上でどのように結合したかについて、メーガンの「アーキタイプ」ポッドキャストのエピソードで学びましょう.

ハリー王子は家族との関係を修復できるという「希望を持っている」:「彼は父親と兄弟を愛している」

ハリー王子は家族との関係を修復できるという「希望を持っている」:「彼は父親と兄弟を愛している」

ハリー王子が家族、特にチャールズ王とウィリアム王子との関係について望んでいると主張したある情報源を発見してください。

ワイノナ・ジャッドは、パニックに陥った休暇の瞬間に、彼女がジャッド家の家長であることを認識しました

ワイノナ・ジャッドは、パニックに陥った休暇の瞬間に、彼女がジャッド家の家長であることを認識しました

ワイノナ・ジャッドが、母親のナオミ・ジャッドが亡くなってから初めての感謝祭のお祝いを主催しているときに、彼女が今では家長であることをどのように認識したかを学びましょう.

セントヘレナのジェイコブのはしごを登るのは、気弱な人向けではありません

セントヘレナのジェイコブのはしごを登るのは、気弱な人向けではありません

セント ヘレナ島のジェイコブズ ラダーは 699 段の真っ直ぐ上る階段で、頂上に到達すると証明書が発行されるほどの難易度です。

The Secrets of Airline Travel Quiz

The Secrets of Airline Travel Quiz

Air travel is far more than getting from point A to point B safely. How much do you know about the million little details that go into flying on airplanes?

Where in the World Are You? Take our GeoGuesser Quiz

Where in the World Are You? Take our GeoGuesser Quiz

The world is a huge place, yet some GeoGuessr players know locations in mere seconds. Are you one of GeoGuessr's gifted elite? Take our quiz to find out!

バイオニック読書はあなたをより速く読むことができますか?

バイオニック読書はあなたをより速く読むことができますか?

BionicReadingアプリの人気が爆発的に高まっています。しかし、それは本当にあなたを速読術にすることができますか?

OxyLEDの新しい15ドルのモーションセンシング常夜灯はどこにでも貼り付けられますが、充電が簡単です

OxyLEDの新しい15ドルのモーションセンシング常夜灯はどこにでも貼り付けられますが、充電が簡単です

私たちの読者は、何千ものOxyLEDのT-02モーションセンサーライトストリップを何年にもわたって購入してきましたが、充電するのが面倒だと感じた場合、新しいT-04は素晴らしいアップグレードのように見えます。T-02のように、 T-04は、付属の粘着ストリップを介して基本的にあらゆる表面に取り付けることができ、暗闇での動きを検出すると自動的に点灯します。

ハンソロ映画セットの写真は、新しいスーツと新しい乗り物を明らかにします

ハンソロ映画セットの写真は、新しいスーツと新しい乗り物を明らかにします

ユニバーサルは、フランケンシュタインの怪物を見つけるのに近いかもしれません。新しい撮影映像でアクマンの舞台裏をご覧ください。

ドナルド・トランプが解雇されたばかりのFBI長官ジェームズ・コミー

ドナルド・トランプが解雇されたばかりのFBI長官ジェームズ・コミー

写真:AP大統領ドナルド・トランプは、連邦捜査局長官のジェームズ・コミーを解雇したばかりです。火曜日の声明で、ホワイトハウスは、トランプが「両方の副検事総長ロッドの明確な勧告に基づいて行動するコミーをオフィスから削除したと述べましたローゼンスタインと司法長官のジェフセッション。

テオドリック大王は、過去の言語と政治的概念に隠された野蛮な将軍でした

テオドリック大王は、過去の言語と政治的概念に隠された野蛮な将軍でした

ウィキメディア・コモンズ経由西部のローマ帝国の中央機関が崩壊し、5世紀の間に州が分裂し、独自の道を進んだとき、新しい王国が出現しました。今日、私たちはこれらの新しい政治単位を特定の野蛮人グループで特定する傾向があります:ガリア南西部の西ゴート族、ガリア北部のフランク人、英国のアングロサクソン人、北アフリカのヴァンダル人。

バレンタインデーにユーカリのシャワースチーマーで「最高の睡眠」を贈りましょう。

バレンタインデーにユーカリのシャワースチーマーで「最高の睡眠」を贈りましょう。

BodyRestore ユーカリ シャワー スチーマーは、Amazon で 11,000 を超える 5 つ星の評価を得ています。セルフケアが必要な人へのバレンタインデーのギフトとして、ホームスパ製品を贈りましょう。

この「邪悪な吸引力」を備えたこの250ドルのハンドヘルド掃除機は、Amazonで75%オフになりました

この「邪悪な吸引力」を備えたこの250ドルのハンドヘルド掃除機は、Amazonで75%オフになりました

多くのAmazonの買い物客がUmlo H6ハンドヘルド掃除機を推奨しており、現在スーパーセール中です. ハンドヘルド デバイスには HEPA フィルターが装備されており、複数のアタッチメントが付属しています。Amazonで75%オフのときにハンドヘルド掃除機を購入する

オクタヴィア・スペンサー、「ザ・ヘルプ」共演者のシシー・スペイセクが17歳で映画のインターンをした後、彼女のことを「実際に」思い出したと語る

オクタヴィア・スペンサー、「ザ・ヘルプ」共演者のシシー・スペイセクが17歳で映画のインターンをした後、彼女のことを「実際に」思い出したと語る

オクタヴィア・スペンサーは、ヘルプで一緒に共演するずっと前に、シシー・スペイセク主演の 1990 年の映画「ロング・ウォーク・ホーム」でインターンとして働いていました。

ジュリア・フォックス、「マスカラ」がTikTokユーザーの性的暴行コードだったことを知らなかったことを謝罪

ジュリア・フォックス、「マスカラ」がTikTokユーザーの性的暴行コードだったことを知らなかったことを謝罪

ジュリア・フォックスは、彼女のTikTokで共有された応答ビデオで、「本当に申し訳ありません。今、本当に年齢を示しています」と述べました。

メリック・ガーランドはアメリカに失敗しましたか?

バイデン大統領の任期の半分以上です。メリック・ガーランドは何を待っていますか?

メリック・ガーランドはアメリカに失敗しましたか?

人々にチャンスを与えることは、人生で少し遅すぎると私は信じています。寛大に。

良いものと醜いもの: 2022

良いものと醜いもの: 2022

もうわからない。何が「ヒット」かを正確に判断することは、もはやほとんど不可能に思えます。

楽しみのために — 2022 年のトップの新しい音楽再生

楽しみのために — 2022 年のトップの新しい音楽再生

ついに!私の 2022 年のトップ ニューミュージック プレイへようこそ。私は毎年これを共有して、友達とつながります。

ヒーズ・オール・アイヴ・ガット

ヒーズ・オール・アイヴ・ガット

あなたの心をチェックしてください。私たちの心はしばしば迷います。

Language