我可以要求为我的多租户 Azure 应用程序分配用户吗？答案

【问题标题】：Can I require user assignment for my multi-tenanted Azure application?我可以要求为我的多租户 Azure 应用程序分配用户吗？
【发布时间】：2018-03-15 04:45:52
【问题描述】：

我是托管在 Microsoft Azure 中的多租户 SaaS Web 应用程序的主要开发人员。我们使用 Azure AD 进行所有身份验证。因为我们的应用程序包含个人信息，所以我们和我们的客户想要一种方法来限制对特定用户的访问。我们只需要一个简单的是/否限制，因此只有分配的用户可以访问应用程序。我们已经考虑过应用程序角色，但是当唯一需要的选项是“授权”时，这似乎是一个很大的开销。

在研究此问题时，我在 Azure AD 中发现了以下“需要用户分配”属性。 User assignment required property in Azure Portal

经过一些测试，我发现它的功能完全符合我们的需要。客户可以完全控制哪些用户可以访问应用程序，任何一方都无需配置应用程序角色。唯一的缺点是这个属性是在客户端配置的。作为开发人员，我是否有办法要求此设置？或者也许是一种默认启用此设置的方法？

澄清：最终目标是客户完成的最少配置。如果开发人员可以启用“需要用户分配”（在客户注册之前），那将是理想的。

【问题讨论】：

我不太清楚你在问什么。客户端需要配置什么？ User assignment required 可以由 GA 而非用户在 AAD 门户中启用。然后只有分配的用户才能访问该应用程序。
@WayneYang-MSFT 我已经更新了问题以澄清最终目标。我正在寻找一种方法来默认为所有未来的客户启用User assignment required。

标签： azure active-directory azure-active-directory

【解决方案1】：

基本上你不能提前指定，由客户的管理员来设置要求。这是他们的问题，而不是您的应用程序的问题。

一种可能的方法是通过 Graph API 调用将创建的服务主体上的 appRoleAssignmentRequired 设置为 true。但这需要相当特权的访问权限，并且他们的管理员已登录。

【讨论】：

嗯...设置appRoleAssignmentRequired后，只有其他租户的管理员才能访问多租户应用程序？
是的。然后他们需要分配谁有权访问。在我看来这也有点无意义，因为管理员在分配用户时还不如设置自己需要的用户分配。
@juunas 我不确定应该由谁负责。感谢您的明确答复。提供替代方案的奖励积分，但我们的许多客户不会同意这种级别的控制。