azure - 是否建议面向客户的应用程序使用 Azure Active Directory 进行身份验证？

Question

我们正在 Azure 中为面向客户的 Web 和移动( native )应用程序构建后端。最初的计划是使用 Azure AD 来管理用户凭据和身份验证。但是，在我一直在研究的过程中，我发现了以下三件事，这些事情强烈表明 Azure AD 不适合用于面向客户的应用程序中的身份验证。

1. 建议的登录方法是重定向到 Azure AD 登录页面。此页面可以使用公司品牌进行一定程度的自定义，但该品牌甚至不会在所有情况下都显示。这种登录方法对于公司内部工具来说很好，但对于面向客户的应用程序来说似乎很俗气；特别是如果该应用程序是 native 移动应用程序。下面的链接讨论了这个问题和潜在的解决方法，但解决方法感觉像是黑客攻击，并且似乎与已发布的有关该主题的所有文档相矛盾。

https://vincentlauzon.com/2017/01/29/authenticating-to-azure-ad-non-interactively/

Azure AD 身份验证要求所有用户都拥有 Microsoft 帐户，如果我的客户还没有 Microsoft 帐户或者想要为我的应用程序使用电子邮件地址，我不想要求他们创建 Microsoft 帐户这与他们的 Microsoft 帐户使用的电子邮件不同。

似乎没有一个好方法可以允许使用来自任何域的电子邮件地址创建用户。我可以将所有客户视为 Active Directory 中的“ guest 用户”，但每次想要在 Azure AD 中创建新用户时，我都必须使用 Active Directory 电子邮件邀请系统。这不适合我。

我是否正确陈述了这些事实？我的结论是否正确:Azure AD 不是存储面向客户的应用程序的用户凭据的好选择？如果是，对于后端托管在 Azure 中的面向客户的应用程序，处理身份验证的推荐方法是什么？

非常感谢您的所有回复!我找不到任何关于这个主题的讨论!

Answer 1

对于您的场景，我建议您使用 Azure AD B2C用于面向客户的应用程序。

<强>1。对于用户界面

您还可以使用页面 UI 自定义功能来自定义任何策略的外观。

<强>2。针对不同的国内流离失所者

An identity provider is a service that authenticates customer identities and issues security tokens. In Azure AD B2C, you can configure a number of identity providers in your tenant, such as a Microsoft account, Facebook, or Amazon among others.

3.用于使用任何域的电子邮件地址创建用户

用户可以使用 Azure AD B2C 注册任何域的任何电子邮件地址。用户创建的这些注册帐户将是本地帐户并由 Azure AD B2C 存储。

总体而言，Azure AD 用于组织。如果您想直接保护您的App给客户，Azure AD B2C绝对是更好的选择。Azure AD B2C有很多功能，您可以引用the official document了解更多详细信息。