azure - 如何为 SSO 配置 Azure Active Directory？

Question

对于一个客户，我需要设置 Azure Active Directory，因为他希望他的员工和客户通过 Microsoft SSO 登录。我完全没有 AD 经验，并且对文档有点不知所措。 “客户”都是B2B客户，因此没有个人账户。这是一个 TypeScript 项目。

请让我知道这个想法是否正确:“客户希望他的员工和外部公司能够登录，因此我需要使用 Multi-Tenancy 应用程序，如果他想手动添加具有访问权限的用户，他可以使用单个租户。”

我们还需要一种方法来读取通过 SSO 登录的用户所在的组。稍后我们会使用这些组为他们分配角色。

因此，用户应该能够通过他们的 Microsoft 帐户登录并允许我们读取他们所在的组。

然后，我们获取访问 token 和 id token 并将它们发送到我们的后端，我们在后端获取用户的组。

我设置了两种不同的 Active Directory 应用程序，一种用于单租户，一种用于 Multi-Tenancy (无个人帐户)。

然后，我将其设置为允许在身份验证中使用访问 token 和 ID token ，添加了一些 token 声明以获取电子邮件，并添加了 Group.Read.All 的 API 权限，以及GroupMember.Read.All。我有一个虚拟前端，允许我登录并为我提供访问 token 和 ID token 。

当我登录到单租户应用程序时，一切正常，我可以使用租户中存在的用户登录，并且无需征求管理员同意即可获得所需内容。

当我对 Multi-Tenancy 尝试相同的操作时，我使用与单租户应用程序相同的设置(但配置为 Multi-Tenancy 并且我的前端正在使用

权限:“https://login.microsoftonline.com/organizations/”，

所以“组织”而不是租户 ID，当我尝试使用 Active Directory 用户之外的用户登录时，它会要求我获得管理员同意。

如何避免它询问我的同意？这是正确的设置还是我需要做一些不同的事情？

非常感谢!

Answer 1

我尝试在我的环境中重现相同的内容，但收到如下错误:

我创建了一个Azure AD Multi-Tenancy 应用程序并授予 API 权限同意:

现在，我尝试使用以下 URL 并以全局管理员身份登录来授予租户广泛的管理员同意:

https://login.microsoftonline.com/organizations/adminconsent?client_id=ClientID

尝试允许用户同意应用程序，如下所示:

转到 Azure 门户 -> 企业应用程序 -> 用户设置 -> 转到同意和权限

确保在企业应用程序用户设置中将以下选项设置为否:

完成上述设置后我可以成功使用另一个租户用户登录应用程序，如下所示:

https://login.microsoftonline.com/organizations/oauth2/v2.0/authorize? 
client_id=ClientID
&response_type=code  
&redirect_uri=https://jwt.ms
&response_mode=query  
&scope=https://graph.microsoft.com/.default
&state=12345

引用:

Azure AD app consent experiences - Microsoft Entra