Konfigurieren Sie Gruppenansprüche für Anwendungen mithilfe von Azure Active Directory – Microsoft Entra (2023)

Azure Active Directory (Azure AD) kann Informationen zur Gruppenmitgliedschaft eines Benutzers in Token zur Verwendung in Anwendungen bereitstellen. Diese Funktion unterstützt drei Hauptmuster:

• Gruppen, die durch ihr OID-Attribut (Azure AD Object Identifier) ​​identifiziert werden
• Gruppen identifiziert durch diesAMAccountNameoderGruppen-IDAttribut für mit Active Directory synchronisierte Gruppen und Benutzer
• Gruppen, die durch ihr Anzeigename-Attribut für reine Cloud-Gruppen identifiziert werden

Wichtige Vorbehalte für diese Funktionalität

• Unterstützung für die Verwendung vonsAMAccountNameund SID-Attribute (Security Identifier), die lokal synchronisiert werden, sollen das Verschieben vorhandener Anwendungen von Active Directory Federation Services (AD FS) und anderen Identitätsanbietern ermöglichen. In Azure AD verwaltete Gruppen enthalten nicht die Attribute, die zum Ausgeben dieser Ansprüche erforderlich sind.

• Um die Begrenzung der Gruppenanzahl zu vermeiden, wenn Ihre Benutzer über eine große Anzahl von Gruppenmitgliedschaften verfügen, können Sie die in Ansprüchen ausgegebenen Gruppen auf die relevanten Gruppen für die Anwendung beschränken. Erfahren Sie mehr über das Ausgeben von Gruppen, die der Anwendung zugewiesen sindJWT-TokenUndSAML-Tokens. Wenn das Zuweisen von Gruppen zu Ihren Anwendungen nicht möglich ist, können Sie auch eine konfigurierenGruppenfilterum die Anzahl der im Anspruch ausgegebenen Gruppen zu reduzieren. Die Gruppenfilterung gilt für Token, die für Apps ausgegeben werden, in denen Gruppenansprüche und Filterung konfiguriert wurdenUnternehmens-AppsKlinge im Portal.

• Für Gruppenansprüche gilt ein Limit von fünf Gruppen, wenn das Token über den impliziten Fluss ausgegeben wird. Über den impliziten Fluss angeforderte Token haben eine„hasgroups“:trueAnspruch nur, wenn der Benutzer mehr als fünf Gruppen angehört.

• Wir empfehlen, die In-App-Autorisierung auf Anwendungsrollen und nicht auf Gruppen zu basieren, wenn:

  • Sie entwickeln eine neue Anwendung oder eine bestehende Anwendung kann dafür konfiguriert werden.
  • Unterstützung für verschachtelte Gruppen ist nicht erforderlich.

  Die Verwendung von Anwendungsrollen begrenzt die Menge an Informationen, die in das Token eingehen müssen, ist sicherer und trennt die Benutzerzuweisung von der App-Konfiguration.

Gruppenansprüche für Anwendungen, die von AD FS und anderen Identitätsanbietern migriert werden

Viele Anwendungen, die für die Authentifizierung mit AD FS konfiguriert sind, stützen sich auf Gruppenmitgliedschaftsinformationen in Form von Windows Server Active Directory-Gruppenattributen. Diese Attribute bilden die GruppesAMAccountName, die durch den Domänennamen oder die Windows-Gruppensicherheitskennung (Gruppen-ID). Wenn die Anwendung mit AD FS verbunden ist, verwendet AD FS dieTokengruppenFunktion zum Abrufen der Gruppenmitgliedschaften für den Benutzer.

Eine App, die aus AD FS verschoben wurde, benötigt Ansprüche im gleichen Format. Von Azure AD ausgegebene Gruppen- und Rollenansprüche können die Domänenqualifizierung enthaltensAMAccountNameAttribut oder dasGruppen-IDDas Attribut wird aus Active Directory und nicht aus dem Azure AD der Gruppe synchronisiertObjekt IdentifikationAttribut.

Die unterstützten Formate für Gruppenansprüche sind:

• ObjectId der Azure AD-Gruppe: Verfügbar für alle Gruppen.
• sAMAccountName: Verfügbar für Gruppen, die aus Active Directory synchronisiert werden.
• NetbiosDomain\sAMAccountName: Verfügbar für Gruppen, die aus Active Directory synchronisiert werden.
• DNSDomainName\sAMAccountName: Verfügbar für Gruppen, die aus Active Directory synchronisiert werden.
• Sicherheitskennung der lokalen Gruppe: Verfügbar für Gruppen, die aus Active Directory synchronisiert werden.

Optionen für Anwendungen zum Konsumieren von Gruppeninformationen

Anwendungen können den Endpunkt der Microsoft Graph-Gruppe aufrufen, um Gruppeninformationen für den authentifizierten Benutzer abzurufen. Dieser Aufruf stellt sicher, dass alle Gruppen verfügbar sind, in denen ein Benutzer Mitglied ist, auch wenn eine große Anzahl von Gruppen beteiligt ist. Die Gruppenaufzählung ist dann unabhängig von Einschränkungen der Tokengröße.

Wenn eine vorhandene Anwendung jedoch erwartet, Gruppeninformationen über Ansprüche zu verbrauchen, können Sie Azure AD mit verschiedenen Anspruchsformaten konfigurieren. Erwägen Sie die folgenden Optionen:

• Wenn Sie die Gruppenmitgliedschaft für die Autorisierung in der Anwendung verwenden, ist es vorzuziehen, die Gruppe zu verwendenObjekt IdentifikationAttribut. Die GruppeObjekt IdentifikationDas Attribut ist unveränderlich und in Azure AD eindeutig. Es ist für alle Gruppen verfügbar.

• Wenn Sie die lokale Gruppe verwendensAMAccountNameAttribut für die Autorisierung, verwenden Sie domänenqualifizierte Namen. Es verringert die Wahrscheinlichkeit von Namenskonflikten.sAMAccountNamekann innerhalb einer Active Directory-Domäne eindeutig sein, aber wenn mehr als eine Active Directory-Domäne mit einem Azure AD-Mandanten synchronisiert wird, besteht die Möglichkeit, dass mehrere Gruppen denselben Namen haben.

• Erwägen Sie die VerwendungAnwendungsrollenum eine Indirektionsschicht zwischen der Gruppenmitgliedschaft und der Anwendung bereitzustellen. Die Anwendung trifft dann interne Autorisierungsentscheidungen basierend auf Rollenansprüchen im Token.

• Wenn die Anwendung so konfiguriert ist, dass sie Gruppenattribute abruft, die von Active Directory synchronisiert werden, und eine Gruppe diese Attribute nicht enthält, wird sie nicht in die Ansprüche einbezogen.

• Gruppenansprüche in Token umfassen verschachtelte Gruppen, es sei denn, Sie verwenden die Option, die Gruppenansprüche auf Gruppen zu beschränken, die der Anwendung zugewiesen sind.

  Wenn ein Benutzer Mitglied von GruppeB und GruppeB Mitglied von GruppeA ist, enthalten die Gruppenansprüche für den Benutzer sowohl GroupA als auch GroupB. Wenn die Benutzer einer Organisation über eine große Anzahl von Gruppenmitgliedschaften verfügen, kann die Anzahl der im Token aufgeführten Gruppen die Tokengröße erhöhen. Azure AD begrenzt die Anzahl der Gruppen, die in einem Token ausgegeben werden, auf 150 für SAML-Assertionen und 200 für JWT. Wenn ein Benutzer Mitglied in einer größeren Anzahl von Gruppen ist, werden die Gruppen weggelassen. Stattdessen ist ein Link zum Microsoft Graph-Endpunkt zum Abrufen von Gruppeninformationen enthalten.

  See Also

  Anmelden von Benutzern bei einer exemplarischen ASP.NET-Webanwendung - Microsoft EntraAzure AD Connect: Verwenden Sie einen SAML 2.0-Identitätsanbieter für Single Sign On – Azure – Microsoft EntraMelden Sie Benutzer bei einer Beispiel-ASP.NET-Webanwendung an – Microsoft Entra

Voraussetzungen für die Verwendung von aus Active Directory synchronisierten Gruppenattributen

Gruppenmitgliedschaftsansprüche können in Tokens für jede Gruppe ausgegeben werden, wenn Sie die verwendenObjekt IdentifikationFormat. Um Gruppenansprüche in anderen Formaten als „Gruppe“ zu verwendenObjekt Identifikation, müssen die Gruppen aus Active Directory über Azure AD Connect synchronisiert werden.

So konfigurieren Sie Azure AD für die Ausgabe von Gruppennamen für Active Directory-Gruppen:

1. Gruppennamen aus Active Directory synchronisieren

   Bevor Azure AD die Gruppennamen oder die lokale Gruppen-SID in Gruppen- oder Rollenansprüchen ausgeben kann, müssen Sie die erforderlichen Attribute aus Active Directory synchronisieren. Sie müssen Azure AD Connect Version 1.2.70 oder höher ausführen. Frühere Versionen von Azure AD Connect als 1.2.70 synchronisieren die Gruppenobjekte aus Active Directory, enthalten jedoch nicht die erforderlichen Gruppennamenattribute.

2. Konfigurieren Sie die Anwendungsregistrierung in Azure AD so, dass Gruppenansprüche in Token einbezogen werden

   Sie können Gruppenansprüche im konfigurierenGeschäftliche AnwendungenAbschnitt des Portals oder mithilfe des Anwendungsmanifests imAnwendungsregistrierungenAbschnitt. Informationen zum Konfigurieren von Gruppenansprüchen im Anwendungsmanifest finden Sie unterKonfigurieren Sie die Azure AD-Anwendungsregistrierung für Gruppenattributespäter in diesem Artikel.

Fügen Sie mithilfe der SSO-Konfiguration Gruppenansprüche zu Tokens für SAML-Anwendungen hinzu

So konfigurieren Sie Gruppenansprüche für eine Galerie- oder Nicht-Galerie-SAML-Anwendung über Single Sign-On (SSO):

1. OffenGeschäftliche Anwendungen, wählen Sie die Anwendung in der Liste aus, wählen SieSingle-Sign-On-Konfiguration, und wählen Sie dann ausBenutzerattribute und Ansprüche.

2. WählenFügen Sie einen Gruppenanspruch hinzu.

   

3. Verwenden Sie die Optionen, um auszuwählen, welche Gruppen in das Token aufgenommen werden sollen.

   

   Auswahl	Beschreibung
   Alle Gruppen	Gibt Sicherheitsgruppen sowie Verteilerlisten und Rollen aus.
   Sicherheitsgruppen	Gibt Sicherheitsgruppen aus, denen der Benutzer im Gruppenanspruch angehört.
   Verzeichnisrollen	Wenn dem Benutzer Verzeichnisrollen zugewiesen sind, werden diese als ausgegebenwidsbeanspruchen. (Der Anspruch der Gruppe wird nicht ausgegeben.)
   Der Anwendung zugewiesene Gruppen	Gibt nur die Gruppen aus, die der Anwendung explizit zugewiesen sind und in denen der Benutzer Mitglied ist. Empfohlen für große Organisationen aufgrund der Gruppenanzahlbeschränkung im Token.

   • Um beispielsweise alle Sicherheitsgruppen auszugeben, in denen der Benutzer Mitglied ist, wählen Sie ausSicherheitsgruppen.

     

     Zum Ausgeben von Gruppen mithilfe von Active Directory-Attributen, die aus Active Directory statt aus Azure AD synchronisiert werdenObjekt IdentifikationAttribute, wählen Sie das gewünschte Format ausQuellattributDropdown-Liste. In die Ansprüche werden nur aus Active Directory synchronisierte Gruppen einbezogen.

     

   • Um nur der Anwendung zugewiesene Gruppen auszugeben, wählen Sie ausDer Anwendung zugewiesene Gruppen.

     

     Der Anwendung zugewiesene Gruppen werden in das Token aufgenommen. Andere Gruppen, in denen der Benutzer Mitglied ist, werden weggelassen. Bei dieser Option werden verschachtelte Gruppen nicht berücksichtigt und der Benutzer muss ein direktes Mitglied der der Anwendung zugewiesenen Gruppe sein.

     Um die der Anwendung zugewiesenen Gruppen zu ändern, wählen Sie die Anwendung ausGeschäftliche AnwendungenListe. Dann auswählenBenutzer und Gruppenaus dem linken Menü der Anwendung.

     Weitere Informationen zum Verwalten der Gruppenzuweisung zu Anwendungen finden Sie unterWeisen Sie einer Unternehmens-App einen Benutzer oder eine Gruppe zu.

Geben Sie den Anzeigenamen der Nur-Cloud-Gruppe im Token aus

Sie können den Gruppenanspruch so konfigurieren, dass er den Gruppenanzeigenamen für die Nur-Cloud-Gruppen enthält.

1. OffenGeschäftliche Anwendungen, wählen Sie die Anwendung in der Liste aus, wählen SieSingle-Sign-On-Konfiguration, und wählen Sie dann ausBenutzerattribute und Ansprüche.

2. Wenn Sie bereits Gruppenansprüche konfiguriert haben, wählen Sie diese ausZusätzliche AnsprücheAbschnitt. Andernfalls können Sie den Gruppenanspruch wie in den vorherigen Schritten beschrieben hinzufügen.

3. Wählen Sie für den im Token ausgegebenen Gruppentyp ausDer Anwendung zugewiesene Gruppen:

   

4. Um den Gruppenanzeigenamen nur für Cloudgruppen auszugeben, imQuellattributDropdown-Liste auswählenAnzeigenamen für Nur-Cloud-Gruppen:

   

5. Um bei einem Hybrid-Setup lokale Gruppenattribute für synchronisierte Gruppen und Anzeigenamen für Cloud-Gruppen auszugeben, können Sie das gewünschte lokale Quellenattribut auswählen und das Kontrollkästchen aktivierenGeben Sie den Gruppennamen für reine Cloud-Gruppen aus:

   

Legen Sie erweiterte Optionen fest

Passen Sie den Gruppenanspruchsnamen an

Sie können die Art und Weise ändern, wie Gruppenansprüche ausgegeben werden, indem Sie die folgenden Einstellungen verwendenErweiterte Optionen.

Wenn Sie auswählenPassen Sie den Namen des Gruppenanspruchs ankönnen Sie für Gruppenansprüche eine andere Anspruchsart angeben. Geben Sie die Anspruchsart einNameFeld und den optionalen Namespace für den Anspruch imNamensraumKasten.

Bei einigen Anwendungen müssen die Informationen zur Gruppenmitgliedschaft im Rollenanspruch angezeigt werden. Sie können die Gruppen des Benutzers optional als Rollen ausgeben, indem Sie Folgendes auswählenGeben Sie Gruppen als Rollenansprüche ausKontrollkästchen.

Gruppenfilterung

Die Gruppenfilterung ermöglicht eine genaue Kontrolle der Liste der Gruppen, die Teil des Gruppenanspruchs sind. Wenn ein Filter konfiguriert ist, werden nur Gruppen, die dem Filter entsprechen, in den Gruppenanspruch einbezogen, der an diese Anwendung gesendet wird. Der Filter wird auf alle Gruppen angewendet, unabhängig von der Gruppenhierarchie.

Sie können Filter konfigurieren, die auf den Anzeigenamen oder den Anzeigenamen der Gruppe angewendet werdenSAMAccountNameAttribut. Die folgenden Filtervorgänge werden unterstützt:

• Präfix: Entspricht dem Anfang des ausgewählten Attributs.
• Suffix: Entspricht dem Ende des ausgewählten Attributs.
• Enthält: Entspricht einem beliebigen Ort im ausgewählten Attribut.

Gruppentransformation

Für einige Anwendungen sind die Gruppen möglicherweise in einem anderen Format als der Darstellung in Azure AD erforderlich. Um diese Anforderung zu unterstützen, können Sie eine Transformation auf jede Gruppe anwenden, die im Gruppenanspruch ausgegeben wird. Dies erreichen Sie, indem Sie die Konfiguration eines regulären Ausdrucks (Regex) und eines Ersatzwerts für benutzerdefinierte Gruppenansprüche zulassen.

\

• Regex-Muster: Verwenden Sie einen regulären Ausdruck, um Textzeichenfolgen gemäß dem Muster zu analysieren, das Sie in diesem Feld festgelegt haben. Wenn das von Ihnen skizzierte Regex-Muster als ausgewertet wirdWAHR, wird das Regex-Ersetzungsmuster ausgeführt.
• Regex-Ersetzungsmuster: Skizzieren Sie in Regex-Notation, wie Sie Ihre Zeichenfolge ersetzen möchten, wenn das von Ihnen beschriebene Regex-Muster als ausgewertet wirdWAHR. Verwenden Sie Erfassungsgruppen, um Unterausdrücke in dieser Ersatz-Regex abzugleichen.

Weitere Informationen zu Regex-Ersetzungs- und Capture-Gruppen finden Sie unterDas Objektmodell für reguläre Ausdrücke: Die erfasste Gruppe.

Bearbeiten Sie die Gruppenanspruchskonfiguration

Nachdem Sie dem eine Gruppenanspruchskonfiguration hinzugefügt habenBenutzerattribute und AnsprücheKonfiguration ist die Option zum Hinzufügen eines Gruppenanspruchs nicht verfügbar. Um die Konfiguration des Gruppenanspruchs zu ändern, wählen Sie den Gruppenanspruch im ausZusätzliche AnsprücheListe.

Konfigurieren Sie die Azure AD-Anwendungsregistrierung für Gruppenattribute

Sie können Gruppenansprüche auch im konfigurierenoptionale AnsprücheAbschnitt derAnwendungsmanifest.

1. Wählen Sie im Portal ausAzure Active Directory>Anwendungsregistrierungen>Wählen Sie Anwendung>Manifest.

2. Aktivieren Sie Gruppenmitgliedschaftsansprüche durch ÄndernGruppenmitgliedschaftsansprüche.

   Gültige Werte sind:

   Auswahl	Beschreibung
   Alle	Gibt Sicherheitsgruppen, Verteilerlisten und Rollen aus.
   Sicherheitsgruppe	Gibt Sicherheitsgruppen und Azure AD-Rollen aus, denen der Benutzer im Gruppenanspruch angehört.
   Verzeichnisrolle	Wenn dem Benutzer Verzeichnisrollen zugewiesen sind, werden diese als ausgegebenwidsbeanspruchen. (Ein Gruppenanspruch wird nicht ausgegeben.)
   Anwendungsgruppe	Gibt nur die Gruppen aus, die der Anwendung explizit zugewiesen sind und in denen der Benutzer Mitglied ist.
   Keiner	Es werden keine Gruppen zurückgegeben. (Die Groß-/Kleinschreibung wird also nicht beachtet.)keinerFunktioniert auch. Es kann direkt im Anwendungsmanifest festgelegt werden.)

   Zum Beispiel:

   „groupMembershipClaims“: „SecurityGroup“

   Standardmäßig GruppeObjekt IdentifikationAttribute werden im Gruppenanspruchswert ausgegeben. Um den Anspruchswert so zu ändern, dass er lokale Gruppenattribute enthält, oder um den Anspruchstyp in eine Rolle zu ändern, verwenden Sie dieoptionalClaimsKonfiguration wie im nächsten Schritt beschrieben.

3. Legen Sie optionale Ansprüche für die Gruppennamenkonfiguration fest.

   Wenn Sie möchten, dass die Gruppen im Token die lokalen Active Directory-Gruppenattribute enthalten, geben Sie an, welcher optionale Anspruch vom Tokentyp in angewendet werden solloptionalClaimsAbschnitt. Sie können mehrere Tokentypen auflisten:

   • idTokenfür das OIDC-ID-Token
   • Zugangstokenfür das OAuth/OIDC-Zugriffstoken
   • Saml2Tokenfür SAML-Token

   Notiz

   DerSaml2TokenDer Typ gilt für Token im SAML1.1- und SAML2.0-Format.

   Ändern Sie für jeden relevanten Tokentyp den Gruppenanspruch, um den zu verwendenoptionalClaimsAbschnitt im Manifest. DeroptionalClaimsSchema ist wie folgt:

   {"name": "groups", "source": null, "essential": false, "additionalProperties": []}

   Optionales Anspruchsschema	Wert
   Name	Muss sein„Gruppen“.
   Quelle	Nicht benutzt. Weglassen oder angebenNull.
   essentiell	Nicht benutzt. Weglassen oder angebenFALSCH.
   zusätzlicheEigenschaften	Liste zusätzlicher Eigenschaften. Gültige Optionen sind„sam_account_name“,„dns_domain_and_sam_account_name“,„netbios_domain_and_sam_account_name“,„cloud_displayname“, Und„emit_as_roles“.

   InzusätzlicheEigenschaften, nur einer von„sam_account_name“,„dns_domain_and_sam_account_name“, oder„netbios_domain_and_sam_account_name“erforderlich. Wenn mehr als einer vorhanden ist, wird der erste verwendet und alle anderen werden ignoriert.

   Einige Anwendungen erfordern Gruppeninformationen über den Benutzer im Rollenanspruch. Um den Anspruchstyp von einem Gruppenanspruch in einen Rollenanspruch zu ändern, fügen Sie hinzu„emit_as_roles“zu weiteren Eigenschaften. Die Gruppenwerte werden im Rollenanspruch ausgegeben.

   Um den Gruppenanzeigenamen für Nur-Cloud-Gruppen auszugeben, können Sie hinzufügen„cloud_displayname“Zuzusätzliche Eigenschaften. Diese Option funktioniert nur, wenn„groupMembershipClaims“ist eingestellt aufAnwendungsgruppe

   Notiz

   Wenn du benutzt„emit_as_roles“, werden alle konfigurierten Anwendungsrollen, denen der Benutzer zugewiesen ist, nicht im Rollenanspruch angezeigt.

Beispiele

Geben Sie Gruppen als Gruppennamen in OAuth-Zugriffstokens ausDNSDomainName\sAMAccountNameFormat:

"optionalClaims": { "accessToken": [{ "name": "groups", "additionalProperties": ["dns_domain_and_sam_account_name"] }]}

Geben Sie Gruppennamen aus, die zurückgegeben werden sollenNetbiosDomain\sAMAccountNameFormat als Rollenanspruch in SAML- und OIDC-ID-Tokens:

"optionalClaims": { "saml2Token": [{ "name": "groups", "additionalProperties": ["netbios_domain_and_sam_account_name", "emit_as_roles"] }], "idToken": [{ "name": "groups", " „additionalProperties“: [„netbios_domain_and_sam_account_name“, „emit_as_roles“] }]}

Nächste Schritte

• Hinzufügen einer Autorisierung mithilfe von Gruppen und Gruppenansprüchen zu einer ASP.NET Core-Webanwendung (Codebeispiel)
• Weisen Sie einer Unternehmens-App einen Benutzer oder eine Gruppe zu
• Konfigurieren Sie Rollenansprüche