将 Azure Active Directory 应用程序访问限制为特定租户

Question

我希望使用 Microsoft 身份平台 -​​ Azure Active Directory - 来管理我的应用程序的身份验证。

我使用 v2.0 端点。

我已在新的应用程序注册门户 ( apps.dev.microsoft.com) 中注册了我的应用程序，它现在显示在主 Azure 门户中的Azure Active Directory > App registrations

我需要将对我的应用程序的访问限制为某些组织 - 我正在假设这意味着我需要允许访问一组特定的 AD 租户。

在应用程序清单中，有一个signInAudience属性，其选项是AzureADMyOrg和AzureADMultipleOrgsAzureADandPersonalMicrosoftAccount

AzureADMultipleOrgs听起来最接近我正在寻找的内容，但到目前为止，这意味着任何拥有 AD 帐户的人都可以访问我的应用程序。

我遇到过一个orgRestrictions属性的文档（https://github.com/microsoftgraph/microsoft-graph-docs/blob/master/api-reference/beta/resources/application.md），这听起来很有用，但它只是说Reserved for future use

我认为这是一个常见的用例，例如仅允许访问订阅您产品的组织，但我没有看到一种简单的方法来做到这一点。

Answer 1

我认为这是一个常见的用例，例如仅允许访问订阅您产品的组织，但我没有看到一种简单的方法来做到这一点。

是的，大多数多租户示例都展示了这一点。目前无法规定给定应用程序应允许从 X 和 Y 登录，因此它必须允许所有 Azure AD 租户。（尽管这是一个被强烈要求的功能）然后在身份验证后，您的应用程序可以检查声明tid。例如，您可以从数据库检查该租户是否具有有效的订阅。如果不这样做，请将他们重定向到错误页面并且不要登录。