Azure AAD 应用程序 ObjectId 和 ApplicationId 有什么区别？

Question

AzureAAD App ObjectId 和 ApplicationId 有什么区别，两者都暴露给用户是否有特定原因？是否存在绝对需要 ObjectId 而不是 ApplicationId 的用例？

Answer 1

Azure AD 中的应用注册会生成 Application 对象。 Azure AD 中的所有对象都有一个对象 ID。当您发出 API 请求来处理特定的 Application 对象时，您将使用对象 ID：

GET https://graph.windows.net/{tenant-id}/applications/{object-id}?api-version=1.6

Application 对象的对象 ID 仅与应用注册的同一租户相关，并且仅用于标识该对象。

Application 对象的appId 属性用于跨租户和多个对象类型。有两个主要用途：

1. 在各种登录和令牌流中识别应用程序（例如 OAuth 2.0 和 OpenID Connect 中的 client_id）。
2. 唯一标识 ServicePrincipal 对象的支持 Application 对象。 （将 ServicePrincipal 对象视为给定 Azure AD 租户中应用的“实例”。）

Answer 2

应用程序 ID

ApplicationId 对于代表此应用程序的单个应用程序对象将是相同的，对于为此应用程序创建的所有服务主体也将是相同的。

对象 ID

ObjectId 将是应用程序对象和每个服务主体的唯一值。这唯一地标识了 Azure AD 中的对象。它是所有 Azure AD 对象（甚至是用户、组或其他任何 Azure AD 对象）的属性

1. 两者都暴露给用户是否有特定原因？
2. 是否存在绝对需要 ObjectId 而不是 ApplicationId 的用例？

是的，有很多原因。假设您需要使用Microsoft Graph API 了解您的应用程序的service principal。你不能直接调用它。

为此，您需要在响应中包含resourceId，它是为其分配的目标资源（服务主体）的object id。

然后调用GET https://graph.microsoft.com/beta/servicePrincipals/，响应中的appId就是AD App的application id。

然后调用GET https://graph.microsoft.com/beta/applications，响应中的appId与GET https://graph.microsoft.com/beta/servicePrincipals/返回的appId相同。然后你就可以匹配它们了。

这就是为什么您需要公开ApplicationId 和ObjectId。像这样，您需要这些 ID 的原因有很多。

您还可以参考提到的资源以对您的查询有更多的了解here

如果您仍有任何问题，请随时在此处发表评论。谢谢。