如何在Azure AD中对特定区域的用户进行身份验证和授权？

Question

网络核心应用。我正在尝试实施身份验证和授权。我有用户，他们被分成多个区域。例如，我有以下区域。

GE GSAS
 - user1
 - user2
APAC
 -user3
 -user4
SE&A
 -user5
 -user6

这些用户具有不同的权限或角色。例如，RegionalAdmin、GlobalAdmin、Users 等 这些用户将在门户中创建一些订单。例如，区域负责人只能将该区域内的订单重新分配给其他用户。对于全球负责人 he/she 可以将订单重新分配给任何人。用户可以创建订单和查看删除，用户不能重新分配订单。所有这些用户都是 Azure AD 租户的一部分。现在我正在尝试实现身份验证和授权。我开始考虑这样的设计策略，我可以按区域创建组并将用户添加到组中。基于这些组，我可以获得身份验证或授权。但是这些用户具有不同的权限，如 RegionalAdmin、GlobalAdmin 等，并且这些用户具有 web/api 权限中允许的一些额外功能。有人可以帮我解决这个问题，以及如何针对上述情况组织群组或角色。任何帮助将不胜感激。谢谢

Answer 1

假设您提到的区域管理员是应用程序中的自定义角色（因为 AAD 中没有这样的角色），最好使用 administrative-units 并且建议的方法是单独创建组对于区域管理员、全局管理员用户，并相应地为这些组分配角色。

一个用户可以分配给多个组，角色可以分配给个人 users/groups。

根据管理员授予群组的角色权限授权应用。请参阅此 link 以获取有关如何在 Azure AD 中为应用程序 create/manage 角色的详细文档。