Azure Active Directory - （Azure 资源）分离关注点答案

【问题标题】：Azure Active Directory - (Azure Resources) to seperate of concernsAzure Active Directory - （Azure 资源）分离关注点
【发布时间】：2018-06-27 17:46:57
【问题描述】：

任何 Azure Active Directory 专家都可以就以下问题提出最佳答案...

目前，一家非常大的企业已经在使用 Azure AD 将 onsight ADDS 与 Azure AD（企业 Azure AD/ADDS）同步。

是创建新 Azure AD 资源以保持关注点分离并确保来自 1 个 Azure AD 资源的用户无法访问其他 Azure AD 资源（企业 Azure AD/ADDS）的最佳解决方案，并且存在创建 1 到 n 的任何额外费用...（我们已经支付的高级许可证除外）

1 个 Azure 订阅是否涵盖 1 到 n.... Azure Active Directory 资源？

我们希望新的 Azure AD 仅包含外部访客，即 @gmail、@yahoo，但这都是 B2B。

---1 Overall Azure Tenant
|
 ----+ (1) Azure AD Enterprise Synce with on premise ADDS (Office 365 and a 
       lot more) (Currently Exists)
|
 ----+ (2) Azure AD Contractors with access to specific applications that are 
       configured

【问题讨论】：

只是为了确认。您想阻止来宾用户访问什么？ Azure 订阅中的企业应用程序或资源？另外，一个目录下可以有多个订阅，但不能让一个订阅覆盖多个目录。
我想象的云架构设计是 1 个 Azure 租户中的两 (2) 个 Azure Active Directory 资源。因此，来自第二个 Azure AD（包含与内部 ADDS 的企业同步）和主机应用程序和其他资源的用户可以“不”以任何方式访问第二个 Azure AD 中的任何内容，反之亦然。我们只希望外部承包商驻留在第二个 Azure AD 中（带有 MFA 的高级许可）。
更多详细信息... 通过这种设计，我们的团队可以允许我们的团队拥有全局管理员权限，因为我们没有触及我们无法访问的企业第一个 Azure AD。我们已经获得了第一次的高级许可，并且愿意为第二次付费，但是是否需要第二次 Azure 租户订阅？
嗨@Moojjoo，感谢您的详细信息。我得到了它。 1.我假设你说的“Azure订阅”是指Azure AD许可。这不能涵盖多个租户。 2. 可以实现只能邀请来自gamil.com和yahoo.com域的用户，在用户设置下进行限制协作设置。您可以转到 Azure 门户 > AAD > 用户> 用户设置> 外部协作设置。
Wayne Yang - 我相信 Neelesh RayMicrosoft 特遣队人员，版主回答了这个问题 - 在所有 Azure 订阅中可能有 2 个 Azure AD 资源低于 1，但您确实需要支付高级许可证的费用Azure AD 资源。 social.msdn.microsoft.com/Forums/azure/en-US/…

标签： azure azure-active-directory

【解决方案1】：

如果您拥有 Azure 订阅，则可以拥有多个 Azure AD 资源（无需额外费用），数量不限。这允许不同的全局管理员管理不同的 Azure AD 资源，例如用户、来宾、应用程序、代理连接器。

不过，如果您需要每个 AD Azure 资源中的高级许可证，您仍然需要为高级许可证付费。

https://azure.microsoft.com/en-us/pricing/details/active-directory/

【讨论】：