使用微软图形应用程序的Azure Active Directory用户和SaaS应用程序

Question

我正在开发一个 SaaS 应用程序，该应用程序要求外部组织的 AD 用户将约会同步到 Office 365 日历事件。

管理员用户方案：

1. 管理员将所有AD用户导入应用程序。
2. 该应用程序将管理员重定向到Microsoft登录并请求权限。
3. 管理员允许应用程序访问用户的日历。

普通用户场景:

1. 用户登录应用程序。
2. 用户创建约会并同步到Office 365日历（无需请求权限）。

我在Microsoft Graph API中使用以下endpoint:

Authority = "https://login.microsoftonline.com/common/oauth2/authorize"
Resource = "https://graph.microsoft.com/"

如果我想让普通用户访问他们的Microsoft数据，我需要将租户“common”更改为他们的租户id吗？

我的另一个问题是管理员同意如何根据我的方案工作？

Answer 1

首先，我建议不要将所有用户导入应用程序。最好只在用户登录时以“及时”的方式提供您实际需要的用户。如果您的应用程序有列出租户中的其他用户（例如“人员选择器”）很有用的场景，您可以按需使用Microsoft Graph API。

接下来，要回答您的一个问题：不，您不应该将权威endpoint切换到租户特定的endpoint。继续使用通用endpoint，这确保您可以对来自任何租户的任何用户进行身份验证。

可以通过在身份验证请求期间使用< code > prompt = admin _ consent 查询参数来明确请求管理员同意。一种方法是让您的应用程序执行常规登录，然后在用户登录后，使用Microsoft Graph API检查用户是否是租户管理员。如果是，您可以将它们重定向到重新验证，但这一次使用< code > prompt = admin _ consent 选项。或者，您可以为您的应用程序创建一个“注册”流程，从一开始就使用< code > prompt = admin _ consent (注意，只有租户管理员可以这样做，因为非管理员将从Azure AD获得他们可能不理解的错误)。