azure - 我应该为企业 B2B 解决方案创建多少个 Azure AD 目录？

Question

我需要构建一个解决方案，利用 Azure B2B 协作来吸引来自不同组织的客户使用我的系统。

每个客户可能拥有 100 或 1000 个用户，其中一些可能拥有 Azure AD，而另一些则没有。

应用程序将具有不同的用户角色/组结构来控制对我的 API 的访问。

设计这个的最佳方法是什么？你能提供引用吗？

选项 1:为每个客户创建单独的 Azure AD

每个客户都有自己的 Azure AD，我可以使用 Azure 组来控制访问。

• 每个订阅的 Azure AD 限制是多少？ (找不到MS 文档中的明确答案)https://learn.microsoft.com/en-us/azure/active-directory/users-groups-roles/directory-service-limits-restrictions
• 这是一个好的“Azure”实践吗？可以提供引用吗？
• 有关构建/组织此内容以方便维护的任何信息。
• 有什么我需要注意的并发症吗？

选项 2:为所有客户/用户创建单个 Azure AD

所有客户的所有用户都将添加到单个 Azure AD 中，并且为了进行用户隔离，每个客户的用户都属于一个单独的 Azure 安全组。

• 在这种情况下，我可能需要在本地数据库中维护每个客户组，因为他们可能有不同的组。
• 将所有客户的用户放在同一目录中是否有任何问题？

选项3:？？？

Answer 1

我认为单租户更好。为每个客户创建一个租户会使管理变得更加困难(登录也变得更难以实现)。每个订阅的 Azure AD 限制可能不存在，因为目录位于层次结构中的订阅之上。是的，您可以为每个客户设置一个组，并将该组的 ID 保存在您的数据库中。

用户将作为 guest 添加到您的目录中，请确保在外部协作设置中启用 guest 用户权限受限设置。这将使他们根本无法访问您租户中的用户或组列表。