FHIR Server для Azure: механизм Azure AD при наличии нескольких серверов

Question

Как объясняется здесь, вы должны зарегистрировать свой FHIR API в Azure AD, чтобы выполнять вызовы API.

Azure AD бесплатен для единого входа до 10 приложений: https://azure.microsoft.com/en-us/pricing/details/active-directory/

Вопрос: Учитывая сценарий, в котором у меня есть более 10 API-интерфейсов FHIR, к которым через одну веб-платформу обращаются несколько пользователей, нужно ли мне назначать учетную запись для каждого участника и платить 6 долларов США пользователю в месяц (Premium P1)?

Или у меня может быть одна учетная запись, которая будет использоваться для вызовов API и аутентификации субъектов с помощью другого метода? Если у вас сотни пользователей, довольно дорого платить по 6 долларов за каждого только за аутентификацию.

Правильно ли я понимаю Azure AD? Есть ли другой способ лучше?

Answer 1

Ответ: Нет. Скорее всего, вы сможете обойтись менее чем с 10 регистрациями приложений, не теряя возможности авторизовать каждого отдельного пользователя. Единственное ограничение, о котором следует беспокоиться, - это ограничение в 500000 объектов.

Объяснение: здесь хорошо объяснена концепция регистрации приложений, и я не буду пытаться сделать ее лучше.

Ключевым моментом в контексте этого вопроса является то, что вы можете использовать одну и ту же регистрацию приложений с любым количеством "приложений". Единственное последствие - вы не сможете назначать разные разрешения для каждого из этих приложений.

Из вашего вопроса не очень понятно, что означают "10 API".

В простейшем случае у вас есть 10 разных конечных точек, размещенных в одном приложении, и в этом случае решение тривиально: используйте регистрацию одного приложения с таким количеством "ролей приложения", которое необходимо, для управления доступом настолько детально, насколько вам необходимо / поддерживается FHIR..

В худшем случае у вас есть 10 приложений, размещенных независимо, и в этом случае вы все равно можете использовать манифест приложения для создания необходимого количества ролей приложения, скорее всего, с использованием некоторого префикса: app1_admin, app1_readonly, app2_readonly и т. Д. Затем используйте эти роли приложения для предоставления разрешения для ваших конечных точек.

См. Эту документацию о том, как создавать роли приложения в манифесте приложения.

Картинка стоит больше тысячи слов. Это должно проиллюстрировать, как вы можете использовать одну и ту же регистрацию приложения для любого количества приложений.