セキュリティコアweb.apiへのコアコアクレーム

Question

私は残りのWeb APIを作成し、それをベアラトークンで保護したいと考えています。それはいいです。 しかし、私もは、空白のアクティブディレクトリのユーザープロファイルに関して、余分なクレーム（AADのofficenumber）を追加したいと思っています。まず、私は、ADFSを通じて余分なクレームを追加するよう、私の安全保障担当者に尋ねました。しかし、彼は否定した。彼は、私が必要なクレームのために青空のグラフAPIを呼びたいと思っています。 ただし、APIでこれを行うにはどうすればよいですか？ 「ログイン」方法がありません。私はアイデンティティのものを持った余分なデータベースを必要としません。

Answer 1

HereあなたのAPIから、具体的にはthisコードでGraph API（ユーザーの代わりに）を呼び出す方法に関するサンプルを見つけることができます。ユーザーの代わりにGraphを呼び出すことは必須ではないことに注意してください。必要に応じて、クライアント証明書フロー（ユーザーアサーションなし）を使用してAPI（アプリケーション）と同じようにGraphを呼び出すことができます。

Answer 2

AFAIKでは、依然としてAzure ADを使用したOAuth/OIDCフローを介してクレームをカスタマイズすることはできません。

各リクエストごとにグラフAPIを呼び出す必要がありますか。私のシナリオはただのものです。ユーザーはAADでSSOを行い、次にクライアントwebapp（angular2）が登録され、webapiを呼び出すことができます。次に、私は必要な要件とauhorisations policysとauhorizationを評価したい、APIで。このプロセスでは、さらに多くのクレームが必要です。つまり、公式番号

いいえ。ユーザーがサインインした後でクレームを生成してから、新しいJWTトークンを生成することができます。その後、バックエンドは、SPAによって生成されるカスタマイズ情報を含むトークンを検証するだけで済みます。