Автоматическое обновление токена и добавление новых групп безопасности пользователей Azure AD

Обновите токен, чтобы получить новый токен доступа

Одним из подходов может быть использование Refresh Token для получения нового Access Token, если вы используете грант, такой как грант кода авторизации, в своем веб-приложении.

Подробнее об этом можно прочитать здесь - Обновление токенов доступа

Вашему приложению нужно будет решить, когда получить новый токен доступа... чтобы оно могло сделать это, когда оно узнает, что членство в группе было обновлено серверным компонентом/администратором.

Теперь отдельная тема, о которой вы почти не упоминали, — как ваше веб-приложение, в котором пользователь уже вошел в систему, узнает о таком событии, но что-то вроде уведомления SingalR может помочь.

Что следует отметить:

• Работа с токенами обновления может быть немного сложной, поскольку они могут быть отозваны по причинам, не контролируемым вашим приложением (например, изменение пароля для пользователя, истечение срока действия, хотя это долго, и другие причины). В случае таких ошибок единственным оставшимся вариантом будет получение нового кода авторизации.

• Жетоны обновления должны храниться в надежном месте

• В частности, в случае претензий groups могут быть сценарии превышения срока действия, когда один только токен доступа может не помочь.

Альтернативный подход (вместо того, чтобы пытаться принудительно обновить токен с новой информацией, как вы упомянули)

Если вам нужна претензия groups, используйте Microsoft Graph API для получения информации о группах безопасности, к которым принадлежит пользователь, вместо того, чтобы смотреть только на токен доступа.

Код вашего приложения может снова вызвать Microsoft Graph API в любой момент, чтобы получить новые сведения о членстве, т. е. группу 1 и группу 2, как в вашем примере (когда ему известно, что членство в группе было обновлено серверным компонентом/администратором). SignalR или какой-либо другой способ уведомить ваше приложение о таких изменениях также будет уместным.

Соответствующие API Microsoft Graph

• пользователь: GetMemberGroups

  POST https://graph.microsoft.com/v1.0/users/{id | userPrincipalName}/getMemberGroups
  

  Это только один, который кажется мне актуальным, но есть и другие похожие API, такие как член, и вы можете выбрать в зависимости от ваших требований.

Преимущества

1. Вы обходите любые сценарии превышения, когда пользователь принадлежит ко многим группам, поэтому токен доступа не предоставляет вам всю необходимую информацию о группе.

2. Вам не нужно принудительно выходить из системы и снова входить в систему для пользователя, чтобы получить токен доступа со свежей информацией.

Детали сценария Overage для заявки groups в токене доступа

В настоящее время вы, возможно, отредактировали манифест своего приложения и установили для свойства "groupMembershipClaims" значение "All" или "SecurityGroup", чтобы токен доступа получал groups утверждение со всеми идентификаторами групп, к которым принадлежит пользователь.

Чтобы размер токена не превышал предельный размер заголовка HTTP, Azure AD ограничивает количество идентификаторов объектов, которые он включает в утверждение групп.. Если пользователь является членом большего числа групп, чем установлен предел превышения (150 для токенов SAML, 200 для токенов JWT), то Azure AD не выдает утверждение групп в токене. Вместо этого он включает в токен требование превышения, которое указывает приложению запрашивать Graph API для получения членства пользователя в группе.