Ограничить доступ к приложению Azure Active Directory для определенных клиентов

Question

Я надеюсь использовать платформу Microsoft Identity - Azure Active Directory - для управления аутентификацией для моего приложения.

Я использую конечную точку v2.0.

Я зарегистрировал свойприложение на новом портале регистрации приложений (apps.dev.microsoft.com), и теперь оно отображается на главном портале Azure в разделе Azure Active Directory > App registrations

. Мне нужно ограничить доступ к своему приложению для определенных организаций - я работаюпри условии, что это означает, что мне нужно разрешить доступ к определенному набору клиентов AD.

В манифесте приложения есть свойство signInAudience, варианты которого AzureADMyOrg, AzureADMultipleOrgs и AzureADandPersonalMicrosoftAccount

AzureADMultipleOrgs звучит ближе всего к тому, что я ищу, но пока это означает, что любой пользователь с учетной записью AD может получить доступ к моему приложению.

Я сталкивался с документацией дляorgRestrictions свойство (https://github.com/microsoftgraph/microsoft-graph-docs/blob/master/api-reference/beta/resources/application.md), которое звучит полезно, но просто говорит: Reserved for future use

Я предполагаю, что это распространенный случай использования, например, разрешить доступ только тем организациям, которые подписаны на ваш продукт, но яне сЭто простой способ сделать это.

Answer 1

Я предполагаю, что это обычный случай использования, например, разрешить доступ только тем организациям, которые подписаны на ваш продукт, но я не вижу простого способа сделать это.

Да, это таки большинство мультитенантных образцов демонстрируют это.В настоящее время нельзя сказать, что конкретное приложение должно разрешать вход в систему от X и Y, поэтому оно должно разрешить все клиенты Azure AD.(хотя это функция, которая была сильно запрошена). После аутентификации ваше приложение может проверить утверждение tid.Например, вы можете проверить из базы данных, есть ли у этого арендатора действительная подписка.Если они этого не делают, перенаправьте их на страницу с ошибкой и не регистрируйте их.