Как вы читаете роли / разрешения, используя MSAL-ANGULAR

Question

Итак, я успешно интегрировал аутентификацию Azure AD на своем угловом сайте в соответствии с инструкциями в msal-angular, и теперь я нахожусь в точке, где я хочу определить и использовать роли и разрешения, чтобы обеспечить более детальный контроль надчто пользователь может и не может сделать.

Из того, что я смог определить, я могу определить роли, следуя этому набору инструкций (https://docs.microsoft.com/en-us/azure/architecture/multitenant-identity/app-roles), но msal-angular, похоже, не раскрывает это при входе в систему - или, по крайней мере,Я пока не нашел инструкций о том, как это сделать.

Возможно, я что-то упустил. Буду признателен за любые предложения

Answer 1

Чтобы получить группы, к которым принадлежит пользователь, вам нужно добавить directory.read.all к своей области в приложении Angular, а также в разрешениях API в настройках приложения Azure.

let graphUser = await graphClient.api('/me').get();
let graphUserGroups = await graphClient.api(`/users/${graphUser.id}/memberOf`).get();

let user = new User();
user.id = graphUser.id;
user.displayName = graphUser.displayName;
// Prefer the mail property, but fall back to userPrincipalName
user.email = graphUser.mail || graphUser.userPrincipalName;

graphUserGroups.value.forEach(group => {
    user.groups.push({
        group_id: group.id,
        group_name: group.displayName
    });
});

Answer 2

(спасибо идет к stillatmylinux)

К вашему сведению: вот мое рабочее угловое 7 решение (упрощено для удобства чтения):

import { MsalService, BroadcastService } from '@azure/msal-angular';
import { Client } from '@microsoft/microsoft-graph-client';

private subscription: Subscription;
private graphClient: Client;
private memberRoles: any[];

constructor(
  readonly auth: MsalService,
  readonly broadcast: BroadcastService
) {
  // Initialize Microsoft Graph client
  this.graphClient = Client.init({
    authProvider: async (done) => {
      let token = await this.auth.acquireTokenSilent(["User.Read", "Directory.Read.All"])
        .catch((reason) => {
          done(reason, null);
        });

      if (token) {
        done(null, token);
      } else {
        done("Could not get an access token", null);
      }
    }
  });

  this.subscription = broadcast.subscribe("msal:loginSuccess",
    () => {
      //Get associated member roles
      this.graphClient.api('/me/memberOf').get()
        .then((response) => {
          this.memberRoles = response.value;
        }, (error) => {
          console.log('getMemberRoles() - error');
      });
  });
}

Answer 3

Вы можете изменить манифест, чтобы получать его в самом токене.

Образец (хотя для .NET, хотя), объясняет это подробно