Phantom Group-Mitgliedschaft in Azure AD

Question

Ich habe eine lange laufende Anwendung, die FederatedAuthentication mit Azure AD verwendet, um Ansprüche-basierte Identitäten zu verwalten. Mein Anwendungsmanifest ist so eingestellt, dass alle Sicherheitsgruppen für einen Benutzer aufgelistet werden (damit ich die Liste der Gruppen durchgehen kann, zu denen sie gehören).

Innerhalb dieser Anwendung habe ich einen Benutzer, der Mitglied einer einzelnen Top-Level-Gruppe ist. Diese Gruppe ist kein Mitglied eines anderen. Wenn sich der Benutzer zuvor anmeldete, wurde nur ein einzelner http://schemas.microsoft.com/ws/2008/06/identity/claims/groups-Wert an seinen ClaimsPrincipal angehängt, sodass die einzelne Gruppe, der er angehört, ordnungsgemäß angezeigt wurde.

Seit kurzem (in den letzten Tagen), wenn sich mein Benutzer anmeldet, gibt es zwei http://schemas.microsoft.com/ws/2008/06/identity/claims/groups Werte. Eine davon entspricht immer noch der Gruppe, der sie angehören, aber die neue stimmt nicht mit der ID einer sichtbaren Gruppe in meinem aktiven Verzeichnis überein (oder einem anderen Objekt, das ich sehen kann: keine Anwendungs-ID und keine andere Benutzer-ID).

Wo könnte diese Phantomgruppen-Mitgliedschaft herkommen, und kann ich sie irgendwie entfernen?

aktualisieren-groupMembershipClaims in der Anwendung manifestieren wird auf SecurityGroup (nicht All).

Answer 1

In meinen Tests, die Gruppenansprüche eine Sammlung der Gruppen und DirectoryRoles zurückkehren, dass aktuelle Benutzer ein Mitglied, das Ergebnis ist ähnlich memberOf azur ad Graph api zu verwenden:

https://graph.windows.net/myorganization/users/{user_id}/$links/memberOf?api-version 

Das Ergebnis mit oben api:

Auch wenn ich groupMembershipClaims-SecurityGroup gesetzt, bekomme ich die gleichen drei Sätze (2 Gruppen und 1 Verzeichnis Rolle) in meinem Token mit Gruppenansprüchen. Mein Konto ist ein globaler Administrator in meinem AAD. Wenn ich das Konto auf die Benutzerverzeichnisrolle (keine Administratorrolle) setze, erhalte ich nur zwei Gruppendatensätze in meinen Gruppenansprüchen.

Mit azure ad graph api, um alle Gruppen zu erhalten, denen der Benutzer direkte oder transitive Mitgliedschaft hat, könnten wir die getMemberGroups Funktion aufrufen.

Wenn Sie möchten, dass Gruppenansprüche nur Gruppen zurückgeben, bei denen der Benutzer direkte oder transitive Mitgliedschaft hat, können Sie Ihr Feedback in AAD userVoice senden.