azure - 如何匿名化传出 AzureAD/B2C 租户 ID？

Question

假设我购买了位于 Azure AD 租户 1(与资源林同义)中的 Multi-Tenancy 应用程序(HR 软件)。

我还购买了 Azure 租户 2 中另一家公司拥有的健康应用程序。

我不拥有租户 1 和 2 的管理权限。

问题1

• 作为 Office 365/AzureAD 林的管理员，我如何允许用户登录这些租户，但阻止他们的用户 ID 在我不拥有的应用程序之间关联？

换句话说，我不希望黑客或其他实体串通并“加入”应用程序 1 和应用程序 2 之间的数据。

我关心的值(value)观包括:

TenantIdenfifiers
http://schemas.microsoft.com/identity/claims/tenantid:
iss:

UserIdentifiers
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name: 
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn: 
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier:
http://schemas.microsoft.com/identity/claims/objectidentifier: 
name
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname: 
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname:

问题2

• 除了上面列出的值之外，我还应该担心串通重建匿名用户的其他值吗？ (例如 msft graph、office API 等)

Answer 1

用户和租户的唯一标识符始终在常规 Azure AD 中传递。你对此无能为力。

应用程序需要这些属性。租户 ID 用于了解您的订阅是什么、您有权访问哪些数据等。用户对象 ID 可用于识别用户，因为用户主体名称可以更改。

但是您的租户的用户无法登录这些租户，除非他们被添加为访客并且他们接受。

通常，您购买订阅的应用是 Multi-Tenancy 的，因此您的租户管理员必须允许登录该应用。完成后，您的租户的用户可以在那里登录。在这种情况下，他们仍在登录您的租户，但该应用已通过为其创建的服务主体在您的租户中获得了权限。

对于 Azure AD B2C，您可以影响向应用程序提供的声明。但问题当然是 B2C 不支持 Multi-Tenancy 应用程序。 Not yet至少。稍后我们也许还可以在 B2C 中允许 Azure AD 身份验证。但即便如此，应用程序所有者仍控制着声明和应用程序。