Azure Active Directory 客户端凭据流程

Question

我在组织的 Web API 访问控制中使用 Azure Active Directory、客户端凭据流。

我在 AD 中注册了以下应用程序:后端应用程序客户1客户端2

现在，即使我没有在 Client1 中向 backend-api 授予委托(delegate)访问权限，客户端 1 也能够获取资源“backend-app”的 token 。无论如何我可以避免这种情况发生吗？我不希望我未明确授予委托(delegate)访问权限的客户端能够获取 token 。

此流程在 native 应用程序中运行良好，其中 AAD 会抛出错误，指示 client1 没有后端应用程序所需的权限。

Answer 1

在企业应用程序 - 应用程序名称 - 属性下，有一个设置需要用户分配吗？设置此项将只允许明确指定的用户访问应用程序。

取自 Azure 门户上的信息框:

If this option is set to yes, then users must first be assigned to this application before being able to access it.

有关 Assign users and groups to an application in Azure Active Directory 的更多信息