azure - 使用 AAD 的 ROPC 流程的用户登录

Question

将 ROPC 流与 AAD 一起使用时，受邀用户是否共享他必须在其他 AAD 租户\MS 帐户上使用的相同凭据（用户名、密码）。

我看到 ROPC 不是推荐的流程，因为我们的客户端不应该处理凭据。但只是想知道我们在为网络钓鱼站点培训用户和失去一些重要功能（如 MFA 等）之外还有什么妥协。

https://docs.microsoft.com/en-us/azure/active-directory/develop/v2-oauth-ropc

e. g 如果我在父 Azure 目录 (A) 中有我的帐户，并且在 Azure 目录 (B) 中邀请我来宾\成员。然后对于企业 SPA 应用程序（无论它属于哪个目录），使用 ROPC 流程的用户将使用相同的用户名、密码登录到应用程序。如果凭据被黑客入​​侵，这将危及 Azure 帐户。那么当我们邀请用户时，有没有办法让他们不应该与现有的 Azure 目录（即 A 或 B）相关联。

标签： azureauthenticationazure-active-directory

Answer 1

那么当我们邀请用户时，有没有办法让他们不应该与现有的 Azure 目录（即 A 或 B）相关联？

简而言之，不。

当您选择 ROPC 流程时，意味着您需要承担风险。无论您是在自己的租户中还是在其他租户中使用 ROPC 流，您的凭据都有泄漏的风险。

因此，如果您担心这一点，选择替代身份验证流程是您的首选。

我假设您根本不想交互式登录，那么您可以考虑客户端凭据流，它可以轻松访问租户 A 和 B 中的数据。