使用Azure AD對內部和外部用戶進行身份驗證

Question

我正在使用多租戶ASP.NET MVC應用程序，並且希望使用Azure AD進行身份驗證。該應用程序也將由外部用戶訪問。 我已經在MSDN上閱讀了有關組織外部用戶如何使用Azure AD訪問應用程序的信息。

我的問題是，如果不將Azure AD與本地Windows Server AD集成，是否可以在Azure AD中創建/維護所有用戶（內部AD（內部）用戶+外部用戶），而不使用本地AD？ 這是因為只有很少的內部用戶將使用此應用程序，但外部用戶也將訪問。

Answer 1

如果您希望本地用戶具有SSO體驗和/或能夠在雲中使用與本地用戶相同的憑據，則必須將Azure AD租戶與本地服務器Active集成在一起。目錄。 您有兩個選擇。

1. 目錄同步和密碼同步 。 這將在Azure AD中存儲本地用戶密碼的哈希值。 用戶仍然會面臨對雲應用程序進行身份驗證的挑戰，但至少他們將能夠使用其相同的本地憑據。

2. 目錄同步與單點登錄 。 這需要在本地設置ADFS，但對於用戶而言，它具有完整的SSO體驗的好處。 如果用戶已經在本地進行了身份驗證，則在訪問您的雲應用程序時不會向他/她詢問憑據。

展望未來，請密切注意新的AAD Sync工具。 它將最終用某些附加功能替換DirSync。 這里和這里都有一些關於它的博客。

回到您的問題，您可以僅在Azure AD中創建和管理用戶。 由於您說的是本地用戶“很少”，所以這也許更符合您的喜好。 只需意識到，如果這樣做，您的本地用戶將對本地和雲使用不同的登錄憑據。 但是，選項1（上述）非常易於設置和使用，這是我建議的選項，以便您的少數本地用戶具有良好的體驗，而不必在Azure AD中單獨進行維護。 如果內部部署用戶的數量增加，那么您已經可以使用它們來支持他們，而無需進行任何額外的工作。