Правильная реализация мультитенантности в Azure Active Directory

Question

Допустим, я настроил и создал новую учетную запись Azure и подписку. Azure автоматически создает мне Azure AD с именем « somedomain.onmicrosoft.com ».

Позже я внедряю API-интерфейс REST и приложение Angular SPA в Azure. Поскольку я использую Azure AD для проверки подлинности и авторизации в обоих приложениях, я регистрирую их в своей Azure AD в домене " somedomain.onmicrosoft.com ".

Все работает нормально, однако через некоторое время я понимаю, что хочу разрешить доступ к своим услугам / приложениям другим организациям. Проведя некоторое исследование, я понимаю, что хочу достичь мультитенантности .

Чтобы зарегистрировать нового арендатора , я делаю следующее:

1. Перейдите на портал Azure.
2. В левом меню лезвия нажмите «Создать ресурс» и найдите «Azure Active Directory».
3. Создайте новый каталог с именем " tenant-1.onmicrosoft.com ".

Затем я обновляю свои зарегистрированные приложения (на « somedomain.onmicrosoft.com ») в соответствии с этой документацией - включая мультитенантность и общую конечную точку.

После всего этого оба пользователя из AD " somedomain.onmicrosoft.com " и " tenant-1.onmicrosoft.com " должны иметь возможность проходить проверку подлинности и получать доступ к моим службам. .

Вопрос

Является ли это правильным способом достижения и реализации мультитенантности?

Answer 1

Вам не нужно создавать нового клиента Azure AD (xyz.onmicrosoft.com). Просто зарегистрируйте приложение в существующем арендаторе или пометьте существующее приложение как мультитенантное. Затем существующие арендаторы AAD смогут зарегистрироваться, чтобы использовать ваше приложение без дальнейшей регистрации. Вам нужно будет изменить код своего приложения, чтобы принимать токены от других арендаторов, например, введите описание ссылки здесь Эта ссылка указывает на обычное веб-приложение .NET, а не SPA. Вам нужно будет перевести его в вашу среду SPA.