我一直在寻找适合我的场景的可行架构。
我们希望有一个多租户 MVC 应用程序，其中每个租户都属于不同的公司。 每个租户都有设置，我们可以在其中配置他们的身份验证类型：客户 AD 或表单。
是否可以允许每个公司使用自己的活动目录登录？或者默认情况下，如果他们没有 AD，我们使用表单身份验证。
我已经阅读了一些关于 Azure AD、AD 联合服务 + WIF（或最近的 OWIN）的文章，但我想要一些有关实现它的解决方案的指导。
谢谢
【问题讨论】：
标签： asp.net-mvc owin azure-active-directory multi-tenant adfs
这是 Azure AD 中非常标准的场景。您需要在 Azure portal 中注册 Azure AD 应用程序，并使用 OWIN OpenIdConnect 中间件进行登录/会话管理。如果您还想调用 Web API 或 Microsoft Graph，您可能还需要包含 ADAL（Active Directory 身份验证库）以帮助交换身份验证代码以获取令牌。
这里有一个很棒的代码示例，向您展示了如何构建.NET multitenant MVC App。此外，可以在Azure AD developer page 找到其他文档。
【讨论】：
之前已经这样做了，我这样做的方式是使用 asp.net-identity 并且每个租户通过依赖注入覆盖 SignIn Manager。
登录管理器是进行身份验证的地方，因此没有一个插入式框架可以做到这一点（我知道），而只是覆盖了其中的几个方法单节课很简单。
【讨论】：
您是否研究过 Azure AD B2C？您可以让用户使用他们公司的电子邮件/广告登录。
看这里：https://azure.microsoft.com/en-us/services/active-directory-b2c/?cdn=disable
【讨论】：
根据其他答案，Azure AD 允许多租户。从字面上看，只是在配置中选择一个复选框。
但是，标准的身份验证方式是 OpenID Connect / OAuth。
此外，您不能更改身份验证模式。
您提到了 ADFS 和本地 AD。这些在哪里适合？
【讨论】：
将 ASP.NET Identity 与 OpenID 连接一起使用，您可以获得此功能。 ASP.NET Identity 具有本地帐户，通过 OpenID Connect to Azure AD，您可以让用户使用其 Azure AD 帐户登录。
应用程序定义需要是多租户应用程序。
如果您使用的是 ASP.NET Core，您几乎可以按照说明 here，然后按照说明添加 OpenID Connect，例如here 或在 app.UseIdentity 调用之后添加类似的代码：
// Add Authentication services.
services.AddAuthentication()
// Configure the OWIN pipeline to use OpenID Connect auth.
.AddOpenIdConnect(option =>
{
option.ClientId = Configuration["AzureAD:ClientId"];
option.Authority = String.Format(Configuration["AzureAd:AadInstance"], Configuration["AzureAd:Tenant"]);
option.SignedOutRedirectUri = Configuration["AzureAd:PostLogoutRedirectUri"];
option.Events = new OpenIdConnectEvents
{
OnRemoteFailure = OnAuthenticationFailed,
};
});
如果您使用个人用户帐户创建新应用，您可以在 Startup.cs 的 ConfigureServices 方法中的 Identity 样板代码之后添加上述代码，然后您就可以开始了。
【讨论】：