azure - 如果用户已经使用 AzureAD 对 MainApp 进行了身份验证，是否应该要求 MainApp 中包含的应用程序重新使用 AzureAD 进行身份验证

Question

我有一个 WebApplication(例如 https://test.com/webapp1 处的 WebApp1)。 WebApp1 要求用户使用 AzureAD 进行身份验证(TenantId:T1，ClientId:C1)。在WebApp1中，有访问同域下其他应用程序的链接

• https://test.com/webapp2
• https://test.com/webapp3

当用户从 WebApp1 内部单击 WebApp2/WebApp3 链接时，我们是否应该使用 WebApp2 和 WebApp3 的不同 ClientId 再次实现 AzureAd 身份验证？

下图是系统整体图:

1. 主网络应用程序

Answer 1

如果它们都是不同的应用程序并且仅共享一个公共(public) URL DNS 命名空间，那么最好为所有三个应用程序使用单独的客户端 ID。在租户 T1 中，您可以为 WebApp2 和 WebApp3 创建单独的服务主体(应用程序注册)，并在 webapp1 中为 webapp2 和 webapp3 添加权限。当您调用“https://test.com/webapp2 ”时，在您的应用程序代码/api 中尝试在 Client-Credential Flow 的帮助下生成不记名 token 。并将 jwt 不记名 token 添加到 api 授权 header 中，并在 WebApp2/WebApp3 中间件中编写身份验证逻辑。