多対多の認証パターン

Question

私はかなり珍しいシナリオの認証スキームを考え出しています。

私は複数のAzure Active Directory（潜在的には数十件）と複数のWeb APIサービスを持っています。 お客様はいずれかのADにサインイン/ログインし、いずれかのサービスでリクエストを認証できるようになります。

簡単な解決方法では、私のすべてのサービスをすべてのADに関する情報で設定する必要があります。 この多対多の関係は、私が避けようとしているものです。

正規化されたトークンを発行する集中トークン交換サーバーを構築するソリューションについて考えましたが、この方法がどれほど安全であるかわからず、むしろ代わりに「すぐに使用できる」ソリューションを使用したいと思います自分自身を実装する。

どうすればこの問題を解決できますか？

Answer 1

multi-tenancy support of Azure ADは、お客様のシナリオを解決するために設計されています。

まず、Azure ADにマルチテナントアプリケーションとしてサービスを公開します。その後、テナントのディレクトリ管理者は、同意フローを参照してアプリケーションをサブスクライブします。

サービスでTokenValidationParametersのValidateIssuerプロパティをfalseに設定して、トークンの発行者のチェックを無効にする必要があります。

ユーザーは、のいずれかのディレクトリにサインインして、アプリケーションに同意することができます。これを指定するディレクトリに限定するには、IssuerValidatorデリゲートをTokenValidationParametersに追加することができます。

IssuerValidator = (issuer, token, params) => 
{ 
    if (_db.FindIssuer(issuer) != null) 
     return issuer; 
    else 
     throw new SecurityTokenInvalidIssuerException("Not a valid issuer"); 
},