azure - 从多租户 Azure AD 应用程序中的访问令牌中唯一标识用户

Question

我有一个多租户 Azure AD 应用程序，来自多个租户的用户将登录到该应用程序并为自己获取访问令牌。这些令牌将传递给我的网络应用程序。我试图弄清楚如何唯一地识别用户。在同一租户内，对象 ID 是唯一标识符。但是当来自多个租户的用户访问我的应用程序时，我如何唯一标识他们？我会在访问令牌中获得用户的主租户 ID 吗？

标签： azureazure-active-directory

Answer 1

我们可以使用用户主体名称、用户对象 ID 等别名来唯一标识来自不同租户的用户。

在 Azure AD 中，UPN 是用户主体名称。它始终采用类似于电子邮件地址的格式。基本上它有3个部分。用户帐户名、分隔符（即@符号）和UPN 后缀或域名。它的主要目的是在身份验证期间使用并代表用户身份。

示例： Tailspin 销售对其 SaaS 应用程序的订阅。Contoso 和 Fabrikam 注册该应用程序。当 Alice (alice@contoso) 登录时，应用程序应该知道 Alice 是 Contoso 的一部分。