tipo de recurso optionalClaims

Namespace: microsoft.graph

Declara as reivindicações opcionais solicitadas por um aplicativo. Um aplicativo pode configurar declarações opcionais a serem retornadas em cada um dos três tipos de tokens (token de ID, token de acesso, token SAML 2) que ele pode receber do serviço de token de segurança. Um aplicativo pode configurar um conjunto diferente de declarações opcionais a serem retornadas em cada tipo de token. A propriedade optionalClaims do aplicativo é um objeto optionalClaims .

Os desenvolvedores de aplicativos podem configurar declarações opcionais em seus aplicativos do Microsoft Entra para especificar quais declarações desejam em tokens enviados ao aplicativo pelo serviço de token de segurança da Microsoft. Consulte fornecer declarações opcionais ao seu aplicativo Microsoft Entra para obter mais informações.

Propriedades

Para configurar o KerberosTicket, adicione um optionalClaim com sua propriedade name definida como groups. Na coleção additionalProperties , especifique um ou mais dos seguintes valores que diferenciam maiúsculas de minúsculas:

• cloud_only_group_sids: inclua SIDs de nuvem para grupos que não têm um SID local.
• hybrid_group_cloud_sids: inclua a representação SID na nuvem do Microsoft Entra de grupos que também mantêm um SID local.
• hybrid_group_onpremises_sids: Inclua a representação SID local original de grupos que mantêm um SID local.

As categorias de grupo dependem da presença de um SID local e de um SID de nuvem, não da fonte de autoridade do grupo ou de onde ele é gerenciado no momento. Você pode combinar esses valores. Ignore os valores desconhecidos retornados pelo serviço. Os valores hybrid_group_sids pré-GA substituídos e onpremises_group_sids não têm suporte.

A propriedade groupMembershipClaims de cada aplicativo que configura kerberosTicket limita ainda mais as associações qualificadas dentro das categorias SID selecionadas:

O aplicativo cliente e o aplicativo de recurso podem configurar KerberosTicket. Quando ambos a configuram, as SIDs retornadas são a união das categorias de SID e as associações qualificadas solicitadas pelos dois aplicativos.

Para usuários híbridos, a projeção de PAC Groups local obrigatória continua a incluir todos os grupos locais aplicáveis. A configuração groupMembershipClaims define como escopo apenas as categorias opcionais de SID de grupo selecionadas por meio de kerberosTicket.

Antes de atualizar um aplicativo, leia sua configuração optionalClaims existente. Use a ID do objeto do aplicativo, não a ID do aplicativo (cliente) e envie o objeto optionalClaims completo porque a propriedade usa a semântica replace-on-write. Preserve as entradas existentes em todas as coleções de declarações de token.

A configuração a seguir inclui SIDs de nuvem para grupos habilitados para segurança sem um SID local e SIDs locais originais para grupos habilitados para segurança que mantêm um. Este exemplo pressupõe que o aplicativo não tenha nenhuma outra declaração opcional configurada.

{
  "groupMembershipClaims": "SecurityGroup",
  "optionalClaims": {
    "accessToken": [],
    "idToken": [],
    "kerberosTicket": [
      {
        "name": "groups",
        "source": null,
        "essential": false,
        "additionalProperties": [
          "cloud_only_group_sids",
          "hybrid_group_onpremises_sids"
        ]
      }
    ],
    "saml2Token": []
  }
}

Para limpar a configuração do Kerberos, defina kerberosTicket como uma coleção vazia, preservando as outras coleções de declaração de token. Quando KerberosTicket está ausente ou vazio, o comportamento padrão de resolução de grupo Kerberos do serviço se aplica.

Relações

Nenhum

Representação JSON

A representação JSON a seguir mostra o tipo de recurso.

{
  "idToken": [{"@odata.type": "microsoft.graph.optionalClaim"}],
  "accessToken": [{"@odata.type": "microsoft.graph.optionalClaim"}],
  "kerberosTicket": [{"@odata.type": "microsoft.graph.optionalClaim"}],
  "saml2Token": [{"@odata.type": "microsoft.graph.optionalClaim"}]
}