Azure 如果沒有分配給沒有用戶分配的應用程序，則 AD 限制用戶登錄

Question

我們想使用 Azure AD 作為我們項目的認證機制。 為此，在我們的組織 Azure AD 中，我為我們的項目注冊了一個應用程序，添加了 SPA 重定向 URI。 使用添加用戶/組將內部用戶添加到同一企業應用程序中。 由於前端應用程序基於 React，我們使用 @azure/msal-react 進行身份驗證，並使用 org AD tenatid 和 authConfig.js 文件中的相應 clientid，其中 scope 作為 User.Read。 在這里，我使用 loginRedirect 在加載應用程序時啟動登錄過程。

由於我們使用的是 org Azure AD，因此還有其他開發人員創建的其他應用程序。 我想限制其他內部用戶登錄訪問此應用程序。 我試圖使用需要的用戶分配作為 Yes來實現這一點，但在那種情況下它要求我們不想要的“需要管理員批准”。 對於大型組織，全局管理員/應用程序管理員/雲管理員將處於不同的時區，用戶不應等待獲得他們的批准。

那么有什么方法可以限制其他內部用戶訪問該應用程序並在嘗試訪問該應用程序時向他們顯示未經授權的頁面。 只有分配的用戶才能登錄到應用程序。

請建議。 如果您需要更多信息，請告訴我。 提前致謝。

Answer 1

要擺脫“需要管理員批准”屏幕，請按照以下步驟操作：

• 確保您具有“全局管理員角色”以更改 Azure 活動目錄中的用戶設置。
• Go 到 Azure 門戶 -> Azure Active Directory -> Go 到企業應用程序 -> 單擊用戶設置 -> 管理員同意請求。 將“用戶可以請求管理員同意他們無法同意的應用程序”設置為“否” 。

• 確保授予管理員同意您添加到應用程序所需的 api 權限。

• 授予它后，它應該像下面這樣：

我已經在我的環境中嘗試過，無需等待管理員批准就可以登錄應用程序。

AFAIK ，限制其他內部用戶訪問該應用程序並在嘗試訪問該應用程序時向他們顯示未經授權的頁面嘗試使用條件訪問策略。

要詳細了解如何執行此操作，請使用以下參考資料：

https://learn.microsoft.com/en-us/azure/active-directory/conditional-access/howto-conditional-access-policy-block-access#create-a-conditional-access-policy

c# - iOS 身份驗證 Azure AD - 堆棧溢出。