多租户Web应用使用AAD调用多租户Web API
多租户Web应用是一种可以为多个租户提供服务的Web应用程序。租户是指不同的组织或个人，每个租户都有自己的数据和配置。Azure Active Directory (AAD) 是微软提供的一种身份验证和访问管理服务，可以用于管理多租户Web应用的用户身份验证和授权。
多租户Web应用可以使用AAD来调用多租户Web API，以实现跨租户的数据访问和交互。以下是关于多租户Web应用使用AAD调用多租户Web API的一些重要概念和步骤：
- AAD租户：每个组织或个人在AAD中都有一个租户，用于管理其用户、身份验证和授权。多租户Web应用需要在AAD中注册并获取一个应用程序标识符（Application Identifier）。
- AAD应用程序：多租户Web应用在AAD中注册的应用程序，用于身份验证和授权。注册应用程序时，需要指定应用程序的权限范围（Scope），以及允许访问的API资源。
- 身份验证流程：多租户Web应用使用AAD的身份验证流程来验证用户身份。通常使用OAuth 2.0协议进行身份验证，包括重定向用户到AAD登录页面、获取授权码、交换授权码获取访问令牌等步骤。
- 访问令牌：身份验证成功后，AAD会颁发一个访问令牌（Access Token），多租户Web应用可以使用该令牌来调用多租户Web API。
- 多租户Web API：多租户Web应用需要调用的API服务，可以是由多个租户共享的公共API，也可以是每个租户独有的私有API。
- API权限配置：多租户Web应用需要在AAD中配置对多租户Web API的访问权限。这包括指定应用程序对API的访问范围、设置应用程序的应用程序标识符和机密（Client Secret）等。
- API调用：多租户Web应用在调用多租户Web API时，需要在请求中包含访问令牌，并按照API的要求进行参数传递和数据交互。
推荐的腾讯云相关产品和产品介绍链接地址：
- 腾讯云身份认证服务（CAM）：https://cloud.tencent.com/product/cam
- 腾讯云API网关：https://cloud.tencent.com/product/apigateway
- 腾讯云云函数（Serverless）：https://cloud.tencent.com/product/scf
- 腾讯云容器服务（TKE）：https://cloud.tencent.com/product/tke
请注意，以上推荐的腾讯云产品仅供参考，实际选择应根据具体需求和情况进行。
相关·内容
1回答
Azure AD:限制使用者对特定Web API的访问
api、azure、oauth-2.0、azure-active-directory
我正在使用Microsoft Azure。我已经发布了几个Web API。每个都打开了身份验证/授权，并将Azure Active Directory (AAD)作为唯一提供商。我们只有一个AAD租户。
消费者将是合作公司的应用程序。对于每个消费者，我已经在AAD中创建了一个应用程序注册。使用该应用程序注册的应用程序ID和密钥，我可以成功地获取令牌并调用Web (通过Postman测试)。
我的问题是，每个消费者凭据都可以访问每个API。我只想限制消费者对特定API的访问。例如，消费者A可以访问API P和Q；消费者B可以访问API Q和R。存在一些重叠和一些唯一性。我一直在阅读在线文档。他们
浏览 0提问于2017-09-25得票数 0
2回答
为什么我需要两个AAD应用程序来将角色添加到访问令牌中？
azure-active-directory
如许多示例所示，我有两个AAD应用程序注册，一个用于基于javascript的前端，另一个用于仅用于JSON的web API。
如果我完全信任我的客户端AAD应用程序，为什么AAD要求我为我的web创建第二个AAD应用程序？
例如，假设我向客户端AAD应用程序添加特定角色，如果客户端使用AAD注册并获得包含我角色的id令牌和访问令牌，它只需将访问令牌发送到我的API。API只需要破解JWT、验证受众、发行者、租户、角色权限和签名。在这个世界上，在web中不需要客户端秘密，不需要第二个AAD应用程序注册，也不需要从我的API中调用AAD。不幸的是，如果没有两个AAD应用程序，我就无法找到让AAD
浏览 2提问于2019-10-25得票数 0
回答已采纳
2回答
如何使用MSAL将现有的Azure AD B2C集成到Xamarin forms应用程序中？
azure、authentication、xamarin.forms、azure-active-directory
我对有点困惑，所以我希望在我的案例中得到一些更清晰的指导。
假设有一个现有的web应用程序(角+ .Net核心)，我正在为它开发移动版本(Xamarin.Forms)。web端和移动端将共享用于用户身份验证和其他服务的相同API后端。
因此，存在一个现有的租户和相关信息(tenantName、tenantID、AppID、RedirectURL、policies等)，而redirectURL用于授权()。
一开始我想我可以直接使用这些信息。我试着在上换了tenantName，tenantID .当我单击“登录”按钮时，它首先显示了以下错误：
然后它把我引向了页面上的标志。最后，我在模拟器
浏览 2提问于2020-07-31得票数 0
回答已采纳
3回答
通过邮递员调用microsoft图api
azure、azure-active-directory、microsoft-graph-api、azure-ad-graph-api
大家好啊。
我正在尝试创建一个REST web服务来访问MS。在开始编码之前，我想先通过邮递员进行测试。经过以下的研究，我到目前为止已经达到了。
创建了以@outlook.com为域的Microsoft帐户，并访问了outlook实用程序。我去了日历显示器，并在日历上绘制了一些事件。
使用该帐户输入，并在此租户中创建一个Azure Active和一个新用户。我将我的Microsoft帐户的日历共享给这个新创建的AAD用户。
使用新创建的Azure活动目录用户登录到。我使用这个用户是因为我在一个博客中看到我需要在“聚合应用程序”下注册一个应用程序。使用Microsoft帐户时，“应用
浏览 0提问于2018-08-28得票数 3
1回答
Microsoft Graph如何通过多租户应用注册访问客户端目录
c#、microsoft-graph-api、multi-tenant、msal
我已经在我们的Azure AD (AAD)中进行了应用注册，该应用已启用多租户。此注册已在另一个(客户端) AAD租户中成功注册(已给予管理员同意)。
我使用MSALCore2.1和.Net 2.0库进行身份验证。
我需要从我们的管理应用程序中使用Microsoft Graph访问客户端AAD，以便在使用原始AAD (应用程序注册创建的位置)中的用户登录时读取客户端AAD组。
我已经阅读了这篇文章并从客户端请求了一个令牌(步骤4)。当我使用此内标识访问客户端和an组时，我收到访问被拒绝的错误。
当我在客户端租户和AAD中创建一个没有启用多租户的应用程序注册时，它工作得很好。有没有可能实现我想要
浏览 1提问于2018-12-20得票数 0
1回答
如何授权对Azure管理API的调用？
azure、authorization、azure-active-directory、azure-api-management
我发现对Azure的管理API的调用(即不是Azure管理，即API网关SaaS )的授权流令人困惑，我希望得到一些澄清。
来自的文档
虽然Azure最初只允许Microsoft帐户用户访问，但现在允许来自这两个系统的用户访问。这是通过让所有Azure属性信任Azure AD进行身份验证，让Azure AD对组织用户进行身份验证，以及创建一个联邦关系( Azure AD信任Microsoft帐户使用者标识系统来验证使用者用户)来实现的。因此，Azure AD能够验证“来宾”Microsoft帐户和“本地”Azure AD帐户。
和
Microsoft Azure订阅使用Azure A
浏览 4提问于2015-08-06得票数 4
1回答
如何在具有AAD身份验证的azure API应用程序中对非Azure应用程序进行身份验证？
azure、azure-active-directory
我有部署在Azure应用程序服务上的WEB API应用程序。目前，只有AAD用户可以进行身份验证，并且能够访问API方法。现在我们有了另一个要求，我们的API方法将由一个本地应用程序调用。您能让我知道我们如何才能获得服务主体，以便从这个本地(非azure)应用程序访问我的云API方法。在Azure中有没有实现上述需求的方法？
浏览 10提问于2021-05-10得票数 0
回答已采纳
2回答
代表当前登录到单独web客户端的用户从API访问MS Graph
azure、azure-active-directory、asp.net-core-2.0、microsoft-graph-api、azure-authentication
我正在开发一个应用程序接口(ASP.NET核心)，这是通过单独托管的web客户端(反应)访问，都作为应用程序服务托管在azure上。客户端应用程序必须有基于azure广告的身份验证(单一租户，最好是基于aad的azure身份验证)。当用户登录到客户端时，API必须能够代表用户访问MS Graph。显然，这两个资源都必须受到保护，我已经尝试在两个应用程序服务上使用基于AAD的azure auth，但我无法使用从auth获得的令牌在API端添加到MsGraph。
问题是，如何避免从客户端将令牌与azure aad身份验证的令牌一起传递到MsGraph，并仅基于令牌从aad身份验证获取msGraph
浏览 2提问于2018-12-12得票数 2
2回答
如何配置Azure应用程序的同意(AADSTS65005错误)
azure、oauth、azure-active-directory、adal、service-principal
我们有一个Azure资源应用程序，我们想要公开其app以供Azure上的客户端应用程序访问。这两个应用程序位于不同的租户上。访问API的用户(Office 365帐户持有人)位于不同的租户上。
当我们在尝试从客户端应用程序对资源应用程序进行身份验证的租户上手动提供服务主体时，整个设置都有效。我的意思是，他们可以使用其Office 365帐户登录，并显示同意屏幕。
如果我们没有在尝试进行身份验证的用户的AAD租户上提供服务主体，我们会得到这个错误：
AADSTS65005 - The app needs access to a service <service> that your
浏览 0提问于2017-09-02得票数 1
2回答
azure广告提供商如何验证应用程序的令牌和用户访问权限？
token、azure-active-directory、azure-authentication
当使用AZURE进行身份验证时，我们将获得一个成功登录的令牌，并将其传递给资源服务器或api控制器。
在我的例子中，我的目录WebApp1、WebApp2、ApiApp1、ApiApp2 &2 user1 &user1& user2中有4个应用程序。
所有用户都分配给所有应用程序。
但只有WebApp1拥有ApiApp1 & ApiApp2的权限，WebApp2只有ApiApp2的权限。
我在这里的问题是，AAD提供者如何在applcation上验证用户令牌和权限？
当我观察到使用fiddler时，我没有看到向当局(AAD)发出任何用于验证令牌和应用程序权限的调
浏览 3提问于2017-03-08得票数 2
回答已采纳
1回答
是否有一种方法可以授权带有JWT和Azure AD令牌的NetCore3.0API
azure、jwt、asp.net-core-3.1、azure-ad-graph-api、msal
我正在创建一个包含身份验证(不含身份)的web服务，并使用JWT保护APIS (当用户登录或通过电子邮件、密码、名称等注册时返回令牌)。但我也有一个微软登录/注册使用MSAL，我还创建了一个Azure应用程序。如何使用microsoft验证登录以返回JWT，或者如何使用JWT和Azure AD实现API授权。
浏览 4提问于2021-01-19得票数 0
回答已采纳
1回答
401多租户web api的未授权例外
azure、azure-active-directory
在对从任何客户端应用程序到WEB API的令牌请求进行身份验证时需要帮助。我们已经在Azure AAD中注册了我们的web API具有多租户应用程序。我的客户端应用程序已经在不同的租户中注册，通过传递请求头的访问令牌部分，能够从AAD.while获得访问令牌，向我们的端点发出Http请求，我们收到了401未经授权的异常。在浏览多租户场景时，我发现原因是禁用了ValidateIssuer并自定义了处理程序。
·在实现WindowsAzureActiveDirectoryBearerAuthentication.时是否有任何自定义处理程序我发现很多人都在用OpenIDConnect。但是对于WEB
浏览 1提问于2017-06-09得票数 1
1回答
带有AAD和Azure函数的Easy隐式流返回未经授权的
azure、azure-active-directory、azure-functions、msal、implicit-flow
API repro
I在azure门户中创建了一个简单的azure函数应用程序，并使用http绑定功能。函数只返回字符串“”。下一步在平台特性中我选择了身份验证/授权。我打开了应用程序服务认证。我选择了在请求未经过身份验证时要采取的操作:使用AAD登录。选择AAD作为我的提供程序，并以快捷模式(默认目录)配置，并为新的Active Directory应用程序选择{name}。I还添加到CORS的策略地址：，其中的Vue.js客户端应用程序是，这些操作是我在AAD中注册的应用程序，已经定义了user_impersonation范围。App已经配置了重定向URI：，选中Id令牌用于在Web平台上进
浏览 11提问于2020-04-07得票数 1
回答已采纳
1回答
如何使用用户凭据而非web应用程序对Azure数据库进行身份验证
authentication、azure-active-directory、azure-web-app-service
我有一个连接到azure sql数据库的ASP.Net MVC web应用程序。我使用我的AAD登录在该数据库上设置了一个帐户。当我在本地(localhost)运行时，web应用程序加载正常，我的凭据成功通过身份验证，并且能够查询数据库。当我将应用程序发布到云上的应用程序服务时，我无法在数据库上进行身份验证。
我最初遵循了这个教程，我知道一旦应用程序发布，它就会被验证为应用程序本身(我已经通过将应用程序注册到AAD并将应用程序API登录添加到数据库来证明这一点)。
我真正想要的是一种作为应用程序的用户进行身份验证的方法，而不是应用程序本身-即我们目前用于本地应用程序的一个Azure版本的Ker
浏览 0提问于2019-07-31得票数 1
2回答
如何在没有控制台/本机应用程序的交互式登录屏幕的情况下为Graph生成Azure Active (AAD)身份验证令牌？
c#、.net、azure-active-directory、azure-ad-graph-api
如何在没有控制台/本机应用程序的交互式登录屏幕的情况下为Graph生成Azure Active (AAD)身份验证令牌？
详细信息:我使用图形API来读取带有“委托”权限的Azure Active Directory (AAD)的电子邮件。
“应用程序”权限允许用户读取其他邮箱，由于安全问题，这种方法没有管理员同意，所以我使用‘委托’权限。
我的控制台/本机应用程序已注册到AAD。
由于AAD使用以下方式为特定帐户生成OAuth身份验证令牌: 1.客户端ID 2.租户ID 3.客户端秘密(应用程序的密钥/密码) 4.特定帐户的登录凭据。
我可以使用交互式登录屏幕生成令牌。
但是，我想要一种机制
浏览 1提问于2019-05-29得票数 3
回答已采纳
1回答
如何使用应用程序注册另一个租户更改一个租户中的日历条目
azure、azure-active-directory、microsoft-graph-api、microsoft-identity-platform
我们目前正在构建一个头部应用程序(没有前端)。这个应用程序必须作为deamon运行，需要更新不同租户中用户的日历条目。
我们有我们独立的Azure订阅，我们已经创建了一个VM和托管应用程序。我们有不同的Azure广告租户和目标租户。我正在考虑在我们的租户注册这个应用程序为多租户应用程序。不过，我不知道当局如何授权改变另一租客的租客身份。
还是应用程序必须在目标租户中注册？
最重要的是我们不想要交互的管理同意流，因为我们希望一切都是一个自动的过程。没有一个文档解释了租户ID在身份验证流中的重要性。有人知道什么吗？
浏览 3提问于2021-04-19得票数 0
回答已采纳
1回答
如何为多租户应用程序使用admin_consent 4触发IdentityServer流？
azure、azure-active-directory、openid-connect、identityserver4
我正在使用IdentityServer 4在asp.net核心上构建一个POC多租户应用程序，作为我的客户端应用程序和使用openIdConnect的Azure Active之间的中间人。当用户从尚未授权使用应用程序的新AAD租户登录时，是否有一种触发admin_consent流的方法？
展示了如何使用客户端站点上的控制器执行手动同意，该控制器从头开始构建AAD，但我正在寻找这样一种体验:来自新目录的用户访问我的站点，被踢到AAD公共端点，登录，并显示一个UI来授权他们目录中的应用程序。
现在我输入了它，我想问题是AAD可能没有办法被告知跳过“未注册到您的目录”错误屏幕，所以来自新租户的AA
浏览 4提问于2017-02-23得票数 1
1回答
如何使用不同的AAD应用程序ID配置WebApp & WebApi？
azure-active-directory、asp.net-core-2.0、openid-connect
我现在有两个应用程序服务
Web (Asp.net核心2w/前端在react中)
Web (Asp.net核心2)
注意:两者都配置了不同的Azure活动目录应用程序id。
用户将登录到Web中，并检索存储在tokencache中的自己的appId/ClientId/ClientSecret的令牌。
在WebApp中，用户希望与WebAPI对话，但需要获得令牌，因为它也受到AAD的保护，但它是一个不同的应用程序id/客户端id/客户端秘密。
问题:当我试图为web做一个AcquireTokenSilentAsync()时，我会得到一个错误，抛出我的令牌不在缓存中
浏览 2提问于2018-02-16得票数 2
回答已采纳
2回答
允许Azure B2C应用程序注册访问常规组织AD应用程序注册
azure、azure-active-directory、azure-ad-b2c
我有以下情况：
一个组织有一个内部应用程序X，它在“主”租户之下注册，允许员工使用它。
App X为其他应用程序(也在主组织租户下注册)公开了一个API，因此，这都是AD中的设置。
一个新的B2C租户已经创建，其中另一个面向公众的应用程序Y将被注册。
如何允许我的B2C租户中的Y应用程序注册使用X的公开API？
如有任何反馈，将不胜感激。
编辑1:
我假设我需要设置一个，因为Y的后端将使用X作为应用程序本身进行身份验证，而不是作为登录到Y的用户或代表用户进行身份验证。
编辑2:
在今天对此进行了一些研究之后，我正在考虑在X的主要组织中为Y创建一个AD应用程序注册，允许我建立
浏览 18提问于2022-10-19得票数 0
回答已采纳
1回答
多租户的MS Graph权限
azure、microsoft-graph-api、azure-marketplace、appsource
我们有一个使用图形app的web应用程序，我们在应用程序注册中授予它应用程序权限。现在我们想将应用程序放到Microsoft，允许其他租户的用户在我们的租户中使用应用程序注册的许可吗？例如，其中一个API是为这个租户中的一些用户创建日历事件，如果使用多租户应用程序注册，其他租户的人能否成功地在其租户中创建日历事件？
浏览 2提问于2022-04-22得票数 0
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频活动推荐
腾讯云开发者
