基於 IP 地址限制對 Microsoft Graph 的訪問，使用應用程序級身份驗證和多租戶應用程序

Question

我正在使用 Microsoft Graph API 訪問來自各種租戶廣告的數據。 這是在我的 Azure 租戶中托管的多租戶 Azure 應用程序。 身份驗證是使用應用程序級令牌和客戶端憑據流處理的； 客戶管理員使用 OAuth 授權為其租戶收集數據。一位客戶詢問我是否可以根據位置限制對我的 Azure 應用程序的訪問，以便我們的應用程序僅向數據中心內的客戶分發令牌。

在我看來，這是行不通的。 微軟最近增加了基於工作負載身份的條件訪問的可能性； 但很明顯這僅適用於單租戶應用程序，其中同一個租戶托管企業應用程序和應用程序注冊：

https://learn.microsoft.com/en-us/azure/active-directory/conditional-access/workload-identity

筆記

策略可以應用於已在您的租戶中注冊的單租戶服務主體。 第三方 SaaS 和多租戶應用程序不在 scope 范圍內。托管身份不在策略范圍內。

但是，我不是專家，可能會根據不正確的假設進行研究。 任何人都可以確認或否認我在這里發布的內容嗎？ 有什么方法可以提供客戶的要求嗎？

Answer 1

如文檔中所述，它僅適用於單租戶，如果您希望此功能也可用於多租戶，您可以在此處提出相同的功能請求： https://techcommunity.microsoft.com/t5 /microsoft-365-developer-platform/idb-p/Microsoft365DeveloperPlatform