通过

应用程序模型

应用程序可以自行登录用户或将登录委托给标识提供者。 本文讨论向Microsoft标识平台注册应用程序所需的步骤。

注册应用程序

若要使标识提供者知道用户有权访问特定应用，用户和应用程序都必须注册到标识提供者。 向 Microsoft Entra ID 注册应用程序时，将为应用程序提供一个标识配置，以便与Microsoft标识平台集成。 注册应用还允许：

  • 在登录对话框中自定义应用程序的品牌。 此品牌非常重要，因为登录是用户使用你的应用的第一次体验。
  • 确定是否仅当用户属于你的组织时才能登录。 此体系结构称为单租户应用程序。 或者，您可以允许用户使用任何工作或学校帐户登录，这就是所谓的多租户应用程序。 还可以允许个人 Microsoft 帐户或来自 LinkedIn、Google 等的社交帐户。
  • 请求范围权限。 例如，可以请求“user.read”范围，该范围授予读取已登录用户的配置文件的权限。
  • 定义 Web API 访问权限的范围。 通常，当应用想要访问 API 时，它需要请求对定义的作用域的权限。
  • 与证明应用标识的Microsoft标识平台共享机密。 在应用程序是机密客户端应用程序的情况下，使用机密是相关的。 机密 客户端应用程序 是可以安全地保存凭据的应用程序，例如 Web 客户端。 需要受信任的后端服务器来存储凭据。

注册应用后，它会获得一个唯一标识符，该标识符在请求令牌时与Microsoft标识平台共享。 如果应用是机密客户端应用程序，则它还将共享机密或公钥，具体取决于是否使用了证书或机密。

Microsoft标识平台使用满足两个主要功能的模型来表示应用程序：

  • 根据它支持的身份验证协议标识应用。
  • 提供进行身份验证所需的所有标识符、URL、机密和相关信息。

Microsoft标识平台：

  • 保存在运行时支持身份验证所需的所有数据。
  • 保存所有数据，用于确定应用可能需要访问哪些资源，以及应满足给定请求的情况。
  • 提供基础结构，用于在应用开发人员的租户中实现应用预配，并向任何其他Microsoft Entra 租户实现应用预配。
  • 在令牌请求时处理用户授权，并促进跨租户的应用程序动态部署。

同意 是资源所有者授权客户端应用程序代表资源所有者访问受保护资源的过程。 Microsoft 身份平台使能：

  • 用户和管理员可以动态授予或拒绝应用代表其访问资源的同意。
  • 管理员最终决定允许哪些应用以及哪些用户可以使用特定应用，以及访问目录资源的方式。

多租户应用

重要

每个云中的服务主体权限是隔离的，因此多租户应用程序（MTA）无法跨云边界运行。 例如，如果应用程序对象托管在商业云中，则关联服务主体会在客户载入期间在本地创建。 在跨越云边界时，此过程失败，因为颁发机构 URL 不同（例如 .com ，与 .us），导致不兼容。

在Microsoft标识平台中， 应用程序对象 描述应用程序。 在部署时，Microsoft标识平台使用应用程序对象作为蓝图来创建 服务主体，该主体表示目录或租户中应用程序的具体实例。 服务主身份定义应用在特定目标目录中可以实际执行的工作、谁可以使用它、它可以访问的资源等等。 Microsoft标识平台通过同意从应用程序对象创建服务主体。

下图显示了由许可驱动的简化Microsoft标识平台预配流。 它显示两个租户： A 和 B。

  • 租户 A 拥有应用程序。
  • 租户 B 正在通过服务主体实例化应用程序。

此图显示了由许可驱动的简化预配流。

在此预配流程中：

  1. 租户 B 中的用户尝试使用应用登录。 授权端点为应用程序请求一个令牌。
  2. 获取并验证用户凭据以进行身份验证。
  3. 系统会提示用户同意应用获取对租户 B 的访问权限。
  4. Microsoft标识平台使用租户 A 中的应用程序对象作为在租户 B 中创建服务主体的蓝图。
  5. 用户会收到请求的令牌。

可以为更多租户重复此过程。 租户 A 保留应用（应用程序对象）的蓝图。 为应用授予同意的所有其他租户中的用户和管理员通过每个租户中的相应服务主体对象保留对应用程序允许执行的操作的控制权。 有关详细信息，请参阅 Microsoft标识平台中的应用程序和服务主体对象。

后续步骤

有关Microsoft标识平台中的身份验证和授权的详细信息，请参阅以下文章：

有关应用程序模型的详细信息，请参阅以下文章：