AAD B2B协作:用附加信息标记外部隐藏AAD中的用户

Question

我们有一个应用程序，它使用AAD B2B协作来邀请用户。这些用户在我们的AAD中创建为访客用户。这一切都很好：

• 拥有AAD/Office 365的用户可以使用他们的正常凭据登录。
• 没有AAD/Office 365的用户在邀请兑换过程中创建他们的帐户，并可以使用它登录。Microsoft将这些帐户存储在外部，为我们隐藏AAD。

情况：

一个组织使用我们的应用程序。该组织还没有自己的AAD/Office 365。我们使用他们的电子邮件地址在我们的AAD中邀请该组织的一些员工。他们在我们的AAD中获得访客帐户。过了一段时间，该组织获得了自己的AAD/Office 365，作为他们现有的域名。此域名以前用于邀请兑换过程中的电子邮件地址。

组织的AAD管理员创建AAD，并立即看到现有的用户帐户:所有被邀请的帐户都显示在AAD中。他在创建新的AAD时没有预料到这一点，他也不知道它们从何而来。似乎外部的，对我们来说是隐藏的AAD，对AAD管理员来说是可见的。AAD管理员可能会决定删除这些帐户，从一个空的AAD开始。因此，员工无法再登录我们的应用程序。

我们的应用程序使用微软图形应用编程接口来邀请用户。有没有办法在外部隐藏的AAD中以某种方式标记用户，以明确帐户来自哪里？比如在现有字段中提及我们的组织/应用程序？

所以要明确的是：我们不想在客人帐户上设置属性。我们希望在AAD管理员创建AAD时看到的用户帐户上设置属性。我们想明确他不能删除这个用户，因为它是由/为应用程序X创建的。

Answer 1

不是，这是Azure AD的一个特色。域名所有者可以选择接管隐藏的Azure广告，如果他们选择以后创建一个的话。他们控制了领域，从而控制了用户，所以一切都由他们决定。

当然，如果您使用Gmail帐户创建AAD Guest用户，他们实际上不会添加到巨大的隐藏Google Azure AD中。如果 AAD 认为该帐户是社交帐户，则当前他们会为该用户透明地创建一个个人 Microsoft 帐户（因此用户始终控制其帐户）。

因此，如果您使用工作电子邮件邀请用户，则必须期望其域所有者能够控制其用户的帐户。

然而，没有属性，你可以设置。