Приложение веб-API управления пользователями для настраиваемого клиента Azure AD

Question

Я хочу разработать RESTful API для управления пользователями в пользовательском клиенте Azure AD.Управление пользователями включает следующее (клиент AAD будет содержать предварительно определенные группы) :

• Создание пользователей
• Удаление пользователей
• Назначение пользователя в группу(s)
• Удалить пользователя из группы
• Сбросить пароль пользователя

Я не совсем понимаю, как настроить регистрацию приложения и надеюсь получить направлениена основании следующего:

1. Приложение API REST должно быть защищено Azure AD, поэтому только назначенные пользователи-администраторы могут получать доступ к API и использовать его.Требует ли это, чтобы приложение API REST было зарегистрировано в AAD Tenant, где установлены разрешения на использование API и разрешение доступа API к профилю пользователя (и членству в группах)?

2. API RESTпо сути, является клиентом Microsoft Graph API, который, как я предполагаю, облегчает вышеуказанные операции, запрошенные администратором.Требуется ли для этого отдельная регистрация приложения или можно ли использовать эту же регистрацию для предоставления необходимых разрешений?

3. Нужна ли мне библиотека ADAL в этой ситуации?

Answer 1

Требуется ли для этого регистрация приложения REST API в AAD Tenant, где установлены разрешения на использование API и разрешение доступа API к профилю пользователя (и членству в группах)?

Конечно, ваше приложение Rest API должно быть зарегистрировано в AAD.

Требуется ли для этого отдельная регистрация приложения, или же эту же регистрацию можно использовать для предоставления необходимых разрешений?

Вам просто нужно зарегистрировать одно приложение и назначить ему несколько разрешений.Также вы можете добавлять в приложение разные роли для разных областей доступа к вашему API. Хотя ваш REST API подобен клиенту для Microsoft Graph API, вы можете просто назначить ему разрешения путем регистрации приложения. Итак, вы можете простоГрафик Microsoft путем разделения ресурса в HTTP-запросе.

Нужна ли библиотека ADAL в этой ситуации?

Да, вам нужно.Для вашего веб-API, если вы используете ednpoint AAD v1, вы можете просто использовать ADAL для проверки токена JWT и выполнения некоторых необходимых операций.