Используйте Azure Active Directory B2C без миграции пользователей

Question

У нас есть клиент, который в настоящее время использует ERP-систему для хранения всех своих клиентов. Это ERP с закрытым исходным кодом, поэтому они не могут изменить поток аутентификации. Прямо сейчас у них есть API аутентификации, который используют различные другие API, но разработка идет медленно. В настоящее время они сталкиваются с проблемой, заключающейся в том, что им необходимо внедрить больше систем, и, учитывая текущую структуру, это требует времени, поскольку их API тесно связаны с остальными системами. Они абсолютно не хотят, чтобы другие отделы создавали приложения с собственной аутентификацией, просто потому, что не могут идти в ногу.

Они не хотят поддерживать единый вход для всех своих систем клиентов, но лучше контролируют, каким пользователям разрешено делать и что делать.

Я читал о Azure Active Directory B2C, и это действительно здорово. Мы используем аутентификацию Azure Active Directory (AAD) для наших внутренних приложений, и она работает безупречно большую часть времени.

А вот и два вопроса:

1. Можно ли использовать Azure AD B2C и при этом держать пользователей в ERP? Например, если мы можем подключить Azure AD B2C, чтобы отправить запрос службе, которая отвечает пользовательскими данными, если этот пользователь существует, если учетные данные верны.

2. Расширение вопроса 1. Действующие ERP-системы предоставляют пользователю токен доступа и токен обновления. Возможно ли в этом случае использовать Azure Active Directory B2C? В основном добавьте наш собственный Identity Provider, который будет обновлять токен доступа при необходимости. Это выполнимо, и есть ли какие-либо руководства в создании этого? Возможно, можно использовать IdentityServer4 или его можно упростить? http://openid.net/developers/certified/#OPLibs https://github.com/IdentityServer/IdentityServer4

Учитывая эти слова на их сайте, я думаю, что это должно работать:

Поддержка всех платформ и открытых стандартов

https://azure.microsoft.com/en-us/services/active-directory-b2c/

Answer 1

Да, это возможно. Как упоминает Мирослав, вы должны использовать пользовательские политики . Это требует наращивания пользовательских политик, которые могут иметь крутую кривую обучения, но, по сути, вы бы взяли стартовый пакет (см. Начало работы ), и вы изменили бы пользовательский путь, чтобы не записывать в каталог B2C (в основном удалить этот шаг). Вместо этого вы должны сделать вызов, где бы ни находились пользователи. Это может быть либо провайдер идентификации OIDC, либо REST API, которые указываются с помощью технических профилей.