不允许用户在我的 Azure AD 应用程序多租户中进行身份验证

Question

我在 Azure AD 中配置了两个租户。我的用户在我的租户中验证成功，但其他租户的其他用户可以访问我的应用程序。

我的申请有什么问题？我在我的代码中使用 OpenId Connect 协议，例如：

app.UseOpenIdConnectAuthentication(
            new OpenIdConnectAuthenticationOptions
            {
                ClientId = clientId,
                Authority = authority,
                TokenValidationParameters = new System.IdentityModel.Tokens.TokenValidationParameters
                {
                    ValidateIssuer = false,
                },
                Notifications = new OpenIdConnectAuthenticationNotifications()
                {
                    SecurityTokenValidated = (context) =>
                    {
                        return Task.FromResult(0);
                    },
                    AuthenticationFailed = (context) =>
                    {
                        context.HandleResponse();
                        return Task.FromResult(0);
                    }
                }
            });

我是否在 Azure 上设置了错误？

有人帮帮我吗？

谢谢，

维莱拉

Answer 1

我在 Azure AD 中配置了两个租户。

租户对应于 Azure Active Directory。因此，当有两个租户时，这意味着您有两个不同的 Azure Active Directory。（有关详细概念，请参阅 here）

要启用多租户应用程序，我们需要从old Azure portal 启用它并找到您的应用程序。然后您可以参考下图进行设置：

更新（限制 sepcifc 租户访问多租户应用）

 app.UseOpenIdConnectAuthentication(
                new OpenIdConnectAuthenticationOptions
                {
                    ClientId = ClientId,
                    Authority = Authority,
                    TokenValidationParameters = new System.IdentityModel.Tokens.TokenValidationParameters
                    {
                        // instead of using the default validation (validating against a single issuer value, as we do in line of business apps), 
                        // we inject our own multitenant validation logic
                        ValidateIssuer = false,
                    },
                    Notifications = new OpenIdConnectAuthenticationNotifications()
                    {                    
                        // we use this notification for injecting our custom logic
                        SecurityTokenValidated = (context) =>
                        {
                            // retriever caller data from the incoming principal
                            string issuer = context.AuthenticationTicket.Identity.FindFirst("iss").Value;    
                            var issuer1 = "";
                            var issuer2 = "";
                            if ((issuer!=issuer1)&& (issuer != issuer2))
                            // the caller was neither from a trusted issuer - throw to block the authentication flow
                            throw new SecurityTokenValidationException();                            
                        return Task.FromResult(0);
                       }
                   }
              });