如何使用 MSI 从另一个租户中的服务访问资源？

Question

我有一个在租户 A 中运行的 azure 资源。 我在tenantB 中有一项服务需要访问tenantA 中的资源。

除了使用原始用户名/通行证或访问密钥之外，我还有什么选择来实现这一目标？ 租户A中的多租户应用程序注册是一种选择吗？ 这怎么设置？

Answer 1

我可以使用托管身份访问不同目录/租户中的资源吗

答案是否定的， 跨目录/租户场景中的托管标识

但是，您可以使用服务主体（应用程序注册是流程的一部分）来启用它，我建议您阅读并了解与https://thomasthornton.cloud/2020/10/14/azure-managed-identities-and-service的区别-principals/ ，好文章！

Answer 2

是的，您需要一个多租户应用程序来实现这一点。

由于您正在尝试访问另一个租户中的 Azure 资源，我猜没有用户参与，这只是一个应用程序流？

如果是这样，这里有一些快速步骤来实现这一点：

1. 在 TenantB 中创建应用程序注册。
2. 将应用程序添加到 TenantA
3. 在 TenantA 中配置 azure 资源，以授予此应用程序的权限。
4. TenantB 中的应用程序现在可以访问 TenantA 中的 Azure 资源。

我在https://blog.identitydigest.com/cross-tenant-access/..写了一篇博客文章，其中有更多详细信息。 它包含一个小代码示例，用于展示如何访问密钥保管库和 Microsoft 图形