Azure Active Directory - поддержка 2 доменов для приложения

Question

У меня есть приложение Azure Active Directory, которое я использовал для аутентификации людей в своем Приложении. Текущий механизм, который я использовал, является однопользовательским, и теперь мне нужен другой домен электронной почты для доступа к моему приложению (только два домена не являются адрес электронной почты организации).

Например, .domain1 & .domain2 могут использовать только приложение и проходить аутентификацию в моем приложении.

Есть идеи, что я могу сделать?

Answer 1

Полагаю, вы имеете в виду двух арендаторов AAD.

Ну, я написал целую статью на эту тему c https://joonasw.net/view/best-practices-for-n-tenant-azure-ad-applications.

Приложение должно быть зарегистрировано как мультитенант, поскольку нет возможности разрешить Speci c арендаторов. Ваши бэкэнды особенно должны определять действительных эмитентов, поэтому URI эмитента для двух арендаторов AAD. Таким образом, токен, выданный другому арендатору, не будет считаться действительным. Типичное мультитенантное приложение может отключить проверку эмитента, но вы не должны.

Тогда вам нужно подумать, как вы будете входить в систему. Вы можете использовать конечную точку организации, но это позволяет пользователю использовать другого арендатора для входа в систему, возможно, в случае аварии. Преимущество такого подхода заключается в том, что это один URL-адрес аутентификации. Недостатком является то, что гостевые учетные записи (внешние) в этих арендаторов не будут работать.

Другой вариант - каким-то образом определить арендатора, которого должен использовать пользователь, или предложить пользователю выбор. Затем используйте конечную точку c, определяемую арендатором, для аутентификации. Это имеет преимущество работы с любыми типами учетных записей. Недостаток усложнения процесса входа со стороны приложения.