optionalClaims-Ressourcentyp

Namespace: microsoft.graph

Deklariert die von einer Anwendung angeforderten optionalen Ansprüche. Eine Anwendung kann optionale Ansprüche konfigurieren, die in jedem der drei Typen von Token (ID-Token, Zugriffstoken, SAML-2-Token) zurückgegeben werden, die sie vom Sicherheitstokendienst empfangen kann. Eine Anwendung kann einen anderen Satz optionaler Ansprüche konfigurieren, die in jedem Tokentyp zurückgegeben werden. Die optionalClaims-Eigenschaft der Anwendung ist ein optionalClaims-Objekt .

Anwendungsentwickler können optionale Ansprüche in ihren Microsoft Entra-Apps konfigurieren, um anzugeben, welche Ansprüche sie in Token wünschen, die vom Microsoft-Sicherheitstokendienst an ihre Anwendung gesendet werden. Weitere Informationen finden Sie unter Bereitstellen optionaler Ansprüche für Ihre Microsoft Entra-App.

Eigenschaften

Eigenschaft Typ Beschreibung
accessToken optionalClaim collection Die optionalen Ansprüche, die im JWT-Zugriffstoken zurückgegeben werden.
idToken optionalClaim collection Die optionalen Ansprüche, die im JWT ID-Token zurückgegeben werden.
kerberosTicket optionalClaim collection Optionale Ansprüche, die die Gruppen-SID-Auflösung für Kerberos-Tickets steuern. Der unterstützte Anspruchsname ist groups.
saml2Token optionalClaim collection Die optionalen Ansprüche, die im SAML-Token zurückgegeben werden.

Um KerberosTicket zu konfigurieren, fügen Sie einen optionalClaim hinzu, dessen name-Eigenschaft auf festgelegt ist groups. Geben Sie in der additionalProperties-Auflistung einen oder mehrere der folgenden Werte an, wobei die Groß-/Kleinschreibung beachtet wird:

  • cloud_only_group_sids: Schließen Sie Cloud-SIDs für Gruppen ein, die nicht über eine lokale SID verfügen.
  • hybrid_group_cloud_sids: Schließen Sie die Microsoft Entra-Cloud-SID-Darstellung von Gruppen ein, die auch eine lokale SID speichern.
  • hybrid_group_onpremises_sids: Die ursprüngliche lokale SID-Darstellung von Gruppen einschließen, die eine lokale SID speichern.

Gruppenkategorien hängen vom Vorhandensein einer lokalen SID und einer Cloud-SID ab, nicht von der Autoritätsquelle der Gruppe oder davon, wo sie derzeit verwaltet wird. Sie können diese Werte kombinieren. Ignorieren unbekannter Werte, die vom Dienst zurückgegeben werden. Die ersetzten Werte hybrid_group_sids vor allgemeiner Verfügbarkeit werden onpremises_group_sids nicht unterstützt.

Die groupMembershipClaims-Eigenschaft jeder Anwendung , die KerberosTicket konfiguriert, schränkt die berechtigten Mitgliedschaften innerhalb der ausgewählten SID-Kategorien weiter ein:

groupMembershipClaims-Wert Optionales Gruppen-SID-Verhalten
All Alle Mitgliedschaften in den ausgewählten SID-Kategorien einschließen.
ApplicationGroup Nur Gruppen einschließen, die der Anwendung zugewiesen sind, die KerberosTicket konfiguriert.
DirectoryRole Keine optionalen Gruppen-SIDs enthalten, es sei denn, sie werden mit einem anderen unterstützten Wert für die Gruppenmitgliedschaft kombiniert.
SecurityGroup Nur sicherheitsaktivierte Gruppen in die ausgewählten SID-Kategorien aufnehmen.

Die Clientanwendung und die Ressourcenanwendung können jeweils KerberosTicket konfigurieren. Wenn beide SIDs konfiguriert werden, sind die zurückgegebenen SIDs die Vereinigung der SID-Kategorien und der berechtigten Mitgliedschaften, die von den beiden Anwendungen angefordert werden.

Für Hybridbenutzer umfasst die obligatorische lokale PAC-Projektion Groups weiterhin alle anwendbaren lokalen Gruppen. Die Einstellung groupMembershipClaims gilt nur für die optionalen Gruppen-SID-Kategorien, die über KerberosTicket ausgewählt wurden.

Lesen Sie vor dem Aktualisieren einer Anwendung die vorhandene Konfiguration optionalClaims . Verwenden Sie die Objekt-ID der Anwendung, nicht ihre Anwendungs-ID (Client-ID), und senden Sie das vollständige optionalClaims-Objekt , da die Eigenschaft eine Ersetzungs-an-Write-Semantik verwendet. Vorhandene Einträge in allen Tokenanspruchssammlungen beibehalten.

Die folgende Konfiguration enthält Cloud-SIDs für sicherheitsaktivierte Gruppen ohne lokale SID und ursprüngliche lokale SIDs für sicherheitsaktivierte Gruppen, die eine beibehalten. In diesem Beispiel wird davon ausgegangen, dass für die Anwendung keine anderen optionalen Ansprüche konfiguriert sind.

{
  "groupMembershipClaims": "SecurityGroup",
  "optionalClaims": {
    "accessToken": [],
    "idToken": [],
    "kerberosTicket": [
      {
        "name": "groups",
        "source": null,
        "essential": false,
        "additionalProperties": [
          "cloud_only_group_sids",
          "hybrid_group_onpremises_sids"
        ]
      }
    ],
    "saml2Token": []
  }
}

Um die Kerberos-Konfiguration zu löschen, legen Sie kerberosTicket auf eine leere Auflistung fest, während die anderen Token-Anspruchsauflistungen beibehalten werden. Wenn KerberosTicket nicht vorhanden oder leer ist, gilt das Standardverhalten des Diensts für die Kerberos-Gruppenauflösung.

Beziehungen

Keine.

JSON-Darstellung

Die folgende JSON-Darstellung veranschaulicht den Ressourcentyp.

{
  "idToken": [{"@odata.type": "microsoft.graph.optionalClaim"}],
  "accessToken": [{"@odata.type": "microsoft.graph.optionalClaim"}],
  "kerberosTicket": [{"@odata.type": "microsoft.graph.optionalClaim"}],
  "saml2Token": [{"@odata.type": "microsoft.graph.optionalClaim"}]
}
  • Zuletzt aktualisiert um