ゲストユーザのUPN要求はどこにありますか？

Question

プライマリAADのゲストユーザとセカンダリAADがあります。ゲストユーザーのために生成されたトークンは、upn要求を逃しているように見えますが、システム間でユーザーをマッピングするために使用されているように、upn要求が存在するという事実に頼っています。

私はゲストのMicrosoft Liveアカウントでupnが見つからない場合がありますが、これは完全なAADアカウントであり、別のAADであることを理解しています。 Microsoftのマニュアルには、unique_nameクレームが実際にユニークでないかもしれないことが示唆されています！

https://docs.microsoft.com/en-us/azure/active-directory/develop/active-directory-token-and-claims

あなたはUNIQUE_NAME請求の値を決定するものを教えてもらえますか？

upnの申し立てが存在しない場合、または外部にゲストされているユーザーの場合、フォールバックにこのクレームを使用することは安全ですか？

ゲストユーザートークンコンテンツ

{ 
    ..,... 
    "tid": "xxxxxxxx-7ea7-413c-96bc-3f3aba133732", 
    "unique_name": "testAdmin@xxxxxxxx.onmicrosoft.com", 
    "ver": "1.0" 
} 

正規ユーザートークン内容：

{ 
    ...... 
    "tid": "xxxxxxxx-72d8-4715-b14f-990c93843416", 
    "unique_name": "testAdmin@xxxxxxx.onmicrosoft.com", 
    "upn": "testAdmin@xxxxxxx.onmicrosoft.com", 
    "ver": "1.0" 

}

私はあなたがおそらく私たちは、「OID」を使用するが、これは私たちを引き起こすたいと思います知っています同じユーザーの環境間の問題は、各AADで異なる値になります。

Answer 1

Azure ADのゲストユーザを表すトークン（ウェル、トークンはupn）は実際にはupnのクレームを逃していますが、あなたが発見したようにunique_nameのクレームが含まれています。これは、他のAzure ADテナントのゲストユーザ、および外部IDプロバイダのゲストユーザに同等に当てはまります。

他のAzure ADテナントのゲストユーザのunique_nameクレームの値は、利用可能な場合はユーザのUPNになります。そうでない場合は、ユーザのメールアドレスに戻ります。他のタイプのゲストユーザの場合、unique_nameは他のフォーマットの値をとるでしょう。&この考え方は、unique_nameが、ゲストユーザにとって人間工学に基づいたベストエフォート型の識別子であるということです。

いずれの場合でも、unique_nameの値を変更することができ、まれに衝突が発生することがあります。そのため、ドキュメントでは、それをプライマリユーザー識別子として使用することを推奨しています。 Azure ADシステムで推奨されるユーザ識別子は、オブジェクトIDまたはoidです。

はい、oidは、異なるテナント間で同じ人間のために異なります。しかし、それはAzure ADテナントモデルのポイントのようなものです。別のテナントのゲストユーザーは、その「自宅」テナントのユーザーとは全く異なるユーザーとしてアプリケーションに表示されます。これらの2人のユーザーをマップする場合は、unique_nameのようなヒューリスティックを使用するのがベストです。

私はあなたがカップルの事のためにfeedback.azure.comに要求を提出することをお勧めします：

1. テナント間でユーザーを識別することができます信頼性の高いユーザ識別子。
2. AADでゲストアカウントを処理する方法に関する優れたドキュメント。