office365 - Microsoft Graph API 的 Multi-Tenancy 支持

Question

在我使用 Microsoft Graph API ( https://graph.microsoft.io/ ) 时，我想了解对 Graph API 的 Multi-Tenancy 支持。

据我了解，我们需要先使用 O365 Azure AD 创建和注册我们的应用程序 (http://dev.office.com/app-registration)，然后才能使用它访问图形 API。

这与早期模型一致，其中应用程序直接在底层 AD 中创建。我相信上面的应用程序创建步骤也是如此。

虽然这允许应用程序访问我们注册应用程序的租户的图形 API，但该应用程序无法访问其他租户数据。 我们怎么做？

之前的 AD 应用程序有一个 授予访问权限 流程，其中应用程序用于向其他租户中的用户显示对话框以授权应用程序。 这个流程还保持良好吗？

这方面的任何指导都会有所帮助。

Answer 1

作为替代方案，如果您使用 App Registration Portal直接从 Microsoft Graph 站点链接到，您无需执行任何额外操作即可使您的应用与多个租户一起使用。它需要将您的身份验证策略切换到 v2.0 Authentication Endpoints (又名融合身份验证)。这对您也有一些好处，例如动态范围以及能够支持企业和消费者身份验证以及具有相同身份验证流程的图形 API。

根据您选择的平台，有几个 samples under the Microsoft Graph GitHub 帐户，可在您需要时为您提供帮助。许多样本已经切换到这个新的身份验证流程，其他样本也在努力进行切换。

额外

如果您对 v2.0 身份验证端点的 {tenant} 段的选项有疑问，您可以阅读它们 here .

common => 允许拥有个人 Microsoft 帐户和来自 Azure Active Directory 的工作/学校帐户的用户登录应用程序。

组织 => 仅允许拥有来自 Azure Active Directory 的工作/学校帐户的用户登录到应用程序。

消费者 => 仅允许拥有个人 Microsoft 帐户 (MSA) 的用户登录应用程序。

{租户指南| name} => 仅允许具有来自特定 Azure Active Directory 租户的工作/学校帐户的用户登录应用程序。可以使用 Azure AD 租户的友好域名或租户的 guid 标识符。