Các quyền đa nhiệm của Azure AD

Question

Tôi có một ứng dụng web Azure đang quản lý người dùng đó thông qua Azure AD. Tôi muốn người dùng có thể đăng ký vào thư mục Azure AD của tôi để tạo tài khoản (tự phục vụ), vì vậy tôi đã cấp cho ứng dụng quyền truy cập đọc-ghi vào thư mục và thiết lập trang bằng API Graph để tạo người dùng.

Cho đến đây, mọi thứ đều tuyệt vời. Nhưng vấn đề tôi có bây giờ là tôi muốn kích hoạt tính năng thuê nhiều, vì vậy người dùng các thư mục AD bên ngoài có thể đăng nhập vào ứng dụng của tôi. Tác vụ này, nhưng tôi cần phải đăng nhập với tư cách là quản trị viên cho tài khoản vì nó cũng yêu cầu quyền truy cập đọc-ghi vào thư mục của họ.

Có cách nào để sửa lỗi này không? Tôi chỉ muốn truy cập đọc-ghi vào thư mục của mình để có thể tạo tài khoản người dùng. Tôi không muốn xin phép chạm vào thư mục của họ bởi vì, có lẽ, họ sẽ không tin tưởng ứng dụng của tôi.

Cảm ơn.

Answer 1

Tôi đã tìm thấy giải pháp nhanh chóng và bẩn: Thêm ứng dụng khác vào Thư mục hoạt động. Ứng dụng này phải là người thuê nhà duy nhất và chỉ có quyền đọc và viết thư mục hoạt động. Chúng tôi có thể sử dụng thông tin đăng nhập của ứng dụng này để truy cập API đồ thị và thông tin xác thực của ứng dụng khác để xác thực người dùng.

Tôi chờ xem liệu ai đó có giải pháp tốt hơn cho trường hợp này hay không ...

Answer 2

xin lỗi vì phản hồi muộn tại đây. Nói chung, một thao tác để tạo các đối tượng trong một thư mục (như người dùng) yêu cầu quyền quản trị. Ngoài ra, có vẻ như ứng dụng web bạn đang tạo sử dụng quyền chỉ dành cho ứng dụng, điều này chắc chắn yêu cầu sự đồng ý của quản trị viên. Trong trường hợp nhiều bên thuê, quản trị viên của người thuê nhà đồng ý phải là người đồng ý với loại ứng dụng này - chỉ người nào đó trong vai trò này thực sự có quyền cấp sự đồng ý cho cấp truy cập này.

Hy vọng sẽ giúp,

Answer 3

Không cần phải sử dụng một ứng dụng phổ thông thay cho vai trò xác thực - - có thể có một số tác dụng phụ đặc biệt trên người sử dụng chứng thực nào như không liên quan/ghi không đầy đủ, vai trò mâu thuẫn, và thiếu tham chiếu hệ thống/nội bộ.

Bạn đang sử dụng thông tin đăng nhập nào cho ứng dụng của mình (TenantID, v.v.)? QUẢNG CÁO rất nghiêm ngặt trong quản lý thông tin xác thực, vì vậy tôi sẽ quay lại cấu trúc ứng dụng. Ở mức truy vấn, bạn có thể làm cho tất cả các bảng hoàn toàn riêng biệt cho mỗi người thuê mà không có dữ liệu bảng chia sẻ và bao gồm cột định danh nhiều byte để không ai có thể chèn sql nếu bạn chắc chắn bao gồm số nhận dạng đa nhiệm dưới dạng biến rõ ràng.

Sau đó, trong mô hình thực thể, bạn có thể kế thừa giao diện đa nhiệm cho tất cả mọi người được gọi lại cho số nhận dạng người thuê nhà (như một phần của EF).

Bằng cách này, gánh nặng được tách biệt với OAuth hoặc các thư viện khác để đảm bảo việc xác thực của bên thứ ba.