Azure Active Directory 和多租户应用授权

Question

在 AAD 中注册应用程序后，似乎无法在 Azure 门户中管理租户访问控制。

根据我所阅读的内容，允许或拒绝特定租户的负担落在应用程序代码中的开发人员身上。所有用户。默认情况下，来自任何 AAD 域的用户都可以访问已注册的应用程序（在授予权限之后）..

如果是这样的话，那就是一个糟糕的模型。这意味着“allowed-tenants”表可能会增长到数百万条记录，并且每次用户登录时，查询都需要根据该表检查他的 tennantID。

Answer 1

AFAIK，目前没有这样的功能为多租户应用程序制作允许/拒绝列表。我们可以在应用程序中控制，通过检查 JWT 令牌中的 tid 声明，您可以创建一个拒绝列表（记录将少于允许列表）并检查 tid 是否在拒绝列表中。而here 是需要相同功能的反馈。