将第三方Azure AD租户目录用户/组数据与应用程序的数据存储同步

Question

作为“新客户入职流程”的一部分，我们将使用Azure AD Graph API开发自定义应用程序，以将第三方租户活动目录用户和组数据与应用程序的数据存储区中的数据进行同步。

1. 哪种天蓝色容器最适合容纳超出要求的自定义业务逻辑？
2. 连接和查询第三方租户需要什么身份验证？
3. 有效/最合适的Azure AD Graph API或LDAP查询吗？
4. 如何同步将第三方租户活动目录中的任何用户或组数据更改通知给我的自定义应用程序，以同步我们应用程序的数据存储？可以使用LDAP方法吗？

我们处于调查阶段

Answer 1

  

哪种天蓝色容器最适合容纳超出要求的自定义业务逻辑？

这是一个广泛的问题，我绝对不能回答。 但是Web作业或耐用功能可以工作。

  

连接和查询第三方租户需要什么身份验证？

如果这就像任何开始使用您的应用程序的租户一样，那么您将在AAD中注册一个多租户应用程序，并且需要应用程序权限才能从Microsoft Graph API中读取所有用户的基本/完整信息。 然后，您需要向第三方租户管理员提供功能以同意这些权限。 这意味着您需要重定向它们以登录到您的应用程序，这时将要求他们授予权限。 单独的同意主题有点复杂，不过文档在这里：https://docs.microsoft.com/en-us/azure/active-directory/develop/consent-framework。

您的应用然后可以在后台使用客户端凭据身份验证来获取MS Graph API的访问令牌，并进行同步/注册以获取更改通知。

  

有效/最合适的Azure AD Graph API或LDAP查询？

都不使用Microsoft Graph API。

  

如何将第三方租户活动目录中的任何用户或组数据更改通知我的自定义应用程序，以同步我们应用程序的数据存储？

您可以获取更改通知：https://docs.microsoft.com/en-us/graph/api/resources/webhooks?view=graph-rest-1.0。 但是您可能还需要进行完全同步，以便所有操作都可以在丢失某些更新的情况下进行。 最简单的解决方案就是按计划运行完全同步。 它既不快速也不高效，但是非常可靠。