Azure AD - 具有守护程序服务和授权代码授予流程的 Multi-Tenancy ，目标租户是否可以生成 client_secret？

Question

我正在通过 OAuth 2.0 协议(protocol)使用 Azure AD，并创建一个 Service/Dameon 应用程序来处理 Microsoft Graph SDK 的身份验证过程。对于服务/守护进程，我创建一个 HttpWebRequest 并传递 client_id 和 client_secret 以生成 access_token 其中然后我可以向 Microsoft Graph SDK 提供。

我还成功为目标租户创建了相应的服务主体，其中管理员已使用授权代码授予流程向应用程序授予了权限。然后，该应用程序会显示在 (portal.azure.com) 内的概述 -> 快速任务 -> 查找企业应用中。

我的问题是，有一种方法可以利用服务/守护程序方法，同时还允许目标租户的管理员授权应用程序，这将允许目标租户创建一个 client_secret传递哪个对于那个租户来说是独一无二的？

Answer 1

简短的回答是否定的。当管理员同意您的 Multi-Tenancy 应用程序时:

1. 在其租户中为其创建服务主体
2. 应用请求的权限已在该租户中授予

这意味着您的应用程序现在也可以使用其客户端凭据(id + key )针对其租户进行身份验证。因此，相同的 key 适用于所有批准的租户。

这意味着您的应用可以在任何给定时间免费获取其中任何一个的访问 token ，无论谁登录。因此，您的应用有责任保持数据分离。

如果您从 https://login.microsoftonline.com/company.com/oauth2/token 获取访问 token ，则生成的 token 将包含该租户的标识符。 Microsoft Graph API 等 API 只会为您提供具有该 token 的租户的数据。因此，您的应用必须确保仅使用租户 ID 等于用户租户 ID 声明的 token 。