Azure AD：基于声明的验证和授权

最新推荐文章于 2025-06-04 19:17:26 发布

原创

最新推荐文章于 2025-06-04 19:17:26 发布 · 2.3k 阅读

7 ·

CC 4.0 BY-SA版权

文章标签：

#Azure

本文介绍了Azure AD中基于声明的验证和授权原理。内容涵盖用户属性、声明、安全令牌、服务提供方与依赖方、身份提供方的角色，以及验证和授权的区别。此外，还提到了信任关系在单点登录中的作用，以及OpenID Connect验证协议和Graph API在实际操作中的应用。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Azure AD：基于声明的验证和授权

概念：

用户及其属性：用户指的是要使用某项服务的个体，其属性是指与之相关的用户名、角色、邮件地址等；
声明（Claim）：对某个个体的某项属性的一个确定的陈述（Assertion），例如，这个用户是Jeffrey
安全令牌（Security Token）：声明的集合，一般经过签名（Signature）和加密（Encryption）操作以保证信息的完整、真实、保密和自身不可复制性；
服务提供方（Service Provider）/依赖方（Replying Party）：服务提供方是要被访问的服务，通常被称为依赖方，以表明服务依赖于第三方提供验证和授权；
身份提供方（Identity Provider）：提供用户验证、发放安全令牌的服务。服务提供方和身份提供方的关系是，前者依赖于后者来进行用户的身份验证，并根据后者所提供的声明来对用户进行授权，它们之间的协议有ws-Federation、SAML、OpenID Connect等；
信任（Trust）：服务提供方和身份提供方之间的信任关系，它们之间的相互信任组成了一个信任圈（Circle of Trust），在这个圈内可以实现所谓单点登陆（SSO）的功能，用户只需要在身份提供方登陆一次，就可以访问与身份提供方相互信任的服务提供方；
验证（Authentication）：确认个体属性的过程，通常需要被验证个体提供某种身份证明，有的服务提供方还需要个体提供多种验证方式，也就是多重验证（Multi-factor Authentication），反之，如果不需要对用户进行验证，则是所谓的允许匿名访问（Anonymous Access）；
授权（Authorization）：确认个体是否有请求某项服务的权限。