限制对特定租户的 Azure Active Directory 应用程序访问

Question

我希望使用 Microsoft 身份平台 -​​ Azure Active Directory - 来管理我的应用程序的身份验证。

我使用的是 v2.0 端点。

我已经在新的应用程序注册门户 (apps.dev.microsoft.com) 中注册了我的应用程序，它现在显示在主 Azure 门户的 Azure Active Directory > App registrations 下

我需要限制某些组织对我的应用程序的访问 - 我正在假设这意味着我需要允许访问一组特定的 AD 租户。

在应用程序清单中，有一个signInAudience 属性，其选项为AzureADMyOrg、AzureADMultipleOrgs 和AzureADandPersonalMicrosoftAccount

AzureADMultipleOrgs 听起来最接近我正在寻找的内容，但到目前为止，这意味着任何拥有 AD 帐户的人都可以访问我的应用。

我遇到了 orgRestrictions 属性 (https://github.com/microsoftgraph/microsoft-graph-docs/blob/master/api-reference/beta/resources/application.md) 的文档，这听起来很有用，但它只是说 Reserved for future use

我认为这是一个常见的用例，例如只允许订阅您的产品的组织访问，但我没有看到直接的方法。

Answer 1

我认为这是一个常见的用例，例如只允许订阅您的产品的组织访问，但我没有看到直接的方法。

是的，大多数多租户示例都展示了这一点。 目前没有办法说给定的应用程序应该允许从 X 和 Y 登录，因此它必须允许所有 Azure AD 租户。 （尽管这是一项要求很高的功能） 然后在身份验证后，您的应用可以检查tid 声明。 例如，您可以从数据库中检查此租户是否具有有效订阅。 如果他们没有，将他们重定向到错误页面并且不要登录。