Атрибуты расширения каталога в заявках

Атрибуты расширения каталога предоставляют способ хранения дополнительных данных для объектов каталога, таких как пользователи. Для выдачи утверждений приложениям можно использовать только атрибуты расширения для пользовательских объектов. В этой статье описывается, как использовать атрибуты расширения каталога для отправки данных о пользователях в приложения в утверждениях токенов.

Замечание

Microsoft Graph предоставляет три других механизма расширения для настройки объектов Graph. Это атрибуты расширения 1–15, открытые расширения и расширения схемы. Дополнительные сведения см. в документации по Microsoft Graph . Данные, хранящиеся в объектах Microsoft Graph с использованием открытых и схемных расширений, недоступны в качестве источников для утверждений в токенах.

Атрибуты расширения каталога всегда связаны с приложением в тенанте. Имя атрибута каталога содержит идентификатор приложения в его имени.

Идентификатор атрибута расширения каталога имеет форму extension_xxxxxxxxx_AttributeName. Где xxxxxxxxx находится идентификатор приложения , для которого было определено расширение, с только символами 0-9 и A-Z.

Регистрация и использование расширений каталогов

Зарегистрируйте атрибуты расширения каталога одним из следующих способов:

Выдача утверждений с использованием данных из Microsoft Entra Connect

Атрибуты расширения каталога, созданные и синхронизированные с помощью Microsoft Entra Connect, всегда связаны с идентификатором приложения, используемым Microsoft Entra Connect. Эти атрибуты можно использовать в качестве источника утверждений, настраивая их в качестве утверждений в конфигурации корпоративных приложений на портале. После создания атрибута расширения каталога с помощью AD Connect он отображается в конфигурации утверждений SAML SSO.

Выдача утверждений с помощью Graph или PowerShell

Если атрибут расширения каталога зарегистрирован для использования Microsoft Graph или PowerShell, приложение можно настроить для получения данных в этом атрибуте при входе пользователя. Приложение можно настроить для получения данных в расширениях каталогов, зарегистрированных в приложении, с помощью необязательных утверждений , которые можно задать в манифесте приложения.

Затем мультитенантные приложения могут регистрировать атрибуты расширения каталога для собственного использования. Когда приложение развертывается в арендаторе, связанные расширения каталога становятся доступными и используются пользователями этого арендатора. После того как расширение каталога доступно, его можно использовать для хранения и извлечения данных с помощью Microsoft Graph. Расширение каталога также может быть сопоставлено с утверждениями в токенах, которые платформа идентификации Microsoft выдает приложениям.

Если приложению необходимо отправлять утверждения с данными из атрибута расширения, зарегистрированного в другом приложении, политика сопоставления утверждений должна использоваться для сопоставления атрибута расширения с утверждением.

Распространенный шаблон управления атрибутами расширения каталога — зарегистрировать приложение специально для всех необходимых расширений каталогов. При использовании этого типа приложения все расширения имеют один и тот же идентификатор appID в имени.

Например, в следующем коде показана политика сопоставления утверждений для отправки одного утверждения из атрибута расширения каталога в токене OAuth/OIDC:

{
    "ClaimsMappingPolicy": {
        "Version": 1,
        "IncludeBasicClaimSet": "false",
        "ClaimsSchema": [{
                "Source": "User",
                "ExtensionID": "extension_xxxxxxx_test",
                "JWTClaimType": "http://schemas.contoso.com/identity/claims/exampleclaim"
            },
        ]
    }
}

Где xxxxxxx находится идентификатор приложения (или идентификатор клиента), в котором было зарегистрировано расширение.

Предупреждение

При определении политики сопоставления утверждений для атрибута расширения каталога используйте ExtensionID свойство вместо ID свойства в теле ClaimsSchema массива, как показано в предыдущем примере.

Подсказка

Согласованность регистров важна при задании атрибутов расширения каталога для объектов. Имена атрибутов расширения не учитывает регистр при настройке, но они чувствительны к регистру при чтении из каталога службой токенов. Если атрибут расширений установлен для одного объекта пользователя с именем "LegacyId" и для другого объекта пользователя с именем "legacyid", при сопоставлении атрибута с утверждением с именем "LegacyId" данные успешно извлекаются, и утверждение включается в токен для первого пользователя, но не для второго.

Дальнейшие шаги

  • Last updated on