Могу ли я потребовать назначения пользователя для своего мультитенантного приложения Azure?
Я являюсь основным разработчиком мультитенантного веб-приложения SaaS, размещенного в Microsoft Azure. Мы используем Azure AD для всех аутентификаций. Поскольку наше приложение содержит личную информацию, мы и наши клиенты хотим ограничить доступ для определенных пользователей. Нам просто нужно установить простое ограничение да / нет, чтобы только назначенные пользователи могли получить доступ к приложению. Мы рассмотрели роли приложений, но, похоже, много лишних, когда единственная необходимая опция - "авторизована".
Исследуя это, я обнаружил следующее свойство "Требуется назначение пользователя" в Azure AD. Требуемое назначение пользователя на портале Azure
После некоторого тестирования я обнаружил, что он функционировал именно так, как нам нужно. Клиент имеет полный контроль над тем, какие пользователи могут получить доступ к приложению, и ни одна из сторон не должна настраивать роли приложений. Единственным недостатком является то, что это свойство настраивается на стороне клиента. Есть ли способ для меня, как разработчика, требовать этот параметр? Или, возможно, способ включить этот параметр по умолчанию?
Пояснение: конечной целью является минимальная конфигурация, выполненная заказчиком. Если разработчики могут разрешить "Требуется назначение пользователя" (до регистрации клиента), это было бы идеально.
1 ответ
Как правило, вы не можете указать это заранее, это требование администратора администратора. Это их забота, а не забота о вашем приложении.
Одним из возможных способов было бы установить appRoleAssignmentRequired на созданном Принципале обслуживания true через вызов API Graph. Но это потребует довольно привилегированного доступа, когда их администратор вошел в систему.