SCIM 应用程序中另一个租户使用一个 Azure 租户的具有发行者和受众的 JWT 令牌

Question

我正在为我的 .NET Core Web API 项目配置 Azure 用户配置。我创建了一个示例 SCIM 应用程序并将其部署在 Windows 服务器上。为特定租户内的应用程序生成特定令牌。该代币具有以下发行者和受众：

• 颁发者：https://sts.windows.net/My_TenantId
• 受众：应用程序 ID d0d2ce47-8775-4a20............d0d2ce47..

当我使用相应的 URL 和有效令牌测试租户的连接时，它按预期工作。但是，当我测试与不同租户内的应用程序的连接时，问题就出现了。令人惊讶的是，仍然连接成功。

我已将以下tenantId与应用程序Id一起使用，如下所述，并且工作正常。 在此输入图片描述

但问题是它也在与另一个租户合作。

预期结果：- 当我为一个租户生成令牌时，它应该仅适用于该租户中存在的应用程序。如果没有为其他租户生成令牌，测试连接应该会失败。

Answer 1

您的应用程序应该生成正在使用的令牌 - 长期持有者令牌（格式无关紧要 - JWT 或任何其他都可以）或 OAuth 2.0 访问令牌。 Entra ID 配置不会对所提供的令牌进行验证 - 输入的值以 Authorization Bearer 的形式在 HTTP 请求的 Authorization 标头中传递。您的应用程序应该处理令牌的发行以及它们是否获得授权。