azure - 使用B2B邀请时App是否需要 Multi-Tenancy

Question

我们正在构建一个要在 Azure AD 中发布的 Web 应用/API，并希望通过邀请(B2B 场景)外部用户加入我们的 Azure AD 来提供对该应用的访问权限。这将在我们的 Azure AD 中创建“Guest”类型的帐户，我们将使用该帐户为应用程序分配权限。在这种情况下，我们是否需要将我们的应用程序配置为“ Multi-Tenancy ”？在代码中需要采取一些步骤来适应 Multi-Tenancy 登录，并且 Azure AD 中应用程序注册的“设置”选项卡上有一个标记为“ Multi-Tenancy ”的设置，您可以在其中选择"is"或“否”。应用程序注册设置中，有一个弹出气泡显示:

Designates whether users in external organizations are allowed to grant your app access to data in their organization's directory

我不确定代码更改如何(或是否)与应用程序注册设置相关，但我们的应用程序不需要访问目录之外的任何数据。

Answer 1

不，您的应用程序不需要是 Multi-Tenancy 的，并且您不需要将用户定向到/common 端点。我已经对此进行了测试，您仍然可以获得某种 SSO 体验。

示例 [email protected] (驻留在 Org1 AAD 中)是 Org2 AAD 中的访客用户(已接受邀请)。现在，同一用户打开私有(private)浏览器并登录 Org1 AAD。

然后，用户尝试使用 Org2 中的应用程序注册来访问 Web 应用程序，并且 Web 应用程序将用户重定向到 https://login.microsoftonline.com/org2.onmicrosoft.com/oauth2/authorize .

结果，AAD 认为用户已登录，并使用 token 等重定向到redirect_url。