azure - 允许 Azure B2C 应用程序注册访问常规组织 AD 应用程序注册

Question

我有以下情况:

• 某个组织有一个内部应用程序 X，该应用程序在“主”租户下注册，允许员工使用它。
• App X 有一个 API 可供其他应用程序(也在主组织租户下注册)使用，因此，这一切都在 AD 中进行设置。
• 已创建一个新的 B2C 租户，其中将注册另一个面向公众的应用程序 Y。

如何允许 B2C 租户中 Y 的应用程序注册使用 X 公开的 API？

如有任何反馈，我们将不胜感激。

编辑 1:

我假设我需要设置 Daemon auth flow ，因为 Y 的后端将作为应用程序本身使用 X 进行身份验证，而不是作为或代表登录到 Y 的用户进行身份验证。

编辑2:

今天对此进行了一些研究后，我正在考虑在 X 的主要组织中为 Y 创建一个 AD 应用程序注册，允许我设置需要在那里建立的任何连接，并且我会更新Y 作为守护进程向 X 进行调用，传递所有相关信息和客户端 key 。

看起来有点不寻常，所以会寻找替代方案，但也希望有更多经验的人提供一些反馈:)

编辑3:

澄清一下，我希望促进两个租户之间的后端应用程序之间的通信，其中一个是 B2C 租户，另一个是内部组织租户。

Answer 1

这可以通过 Multi-Tenancy 来实现。这两个应用程序都需要注册为 Multi-Tenancy 应用程序。

1.在租户 A 中 - 在租户 A(例如:TenantA)中创建一个应用程序注册作为 Multi-Tenancy 应用程序，并将其公开为 API (api://app-id)，并在应用程序中添加应用程序角色。

2.在租户 B 中 - 在租户 B 中创建应用注册作为 Multi-Tenancy 应用程序，并记下应用程序的客户端 ID。

3.租户B中的应用程序的客户端id需要添加到租户A中注册的应用程序 list 中的已知客户端应用程序中。

4.同意租户 B 中使用 https://login.microsoftonline.com/common/adminconsent?client_id=clientIdOfTenantA&redirect_uri=redirectURIOfTenantA 创建服务主体的申请和权限

5.在租户 B 中，已在企业应用程序下创建租户 A 的服务主体

6.现在租户A在租户B中可用。您可以继续将租户A中的API暴露给租户B。