如果用户已经通过AzureAD对MainApp进行了身份验证，是否应要求MainApp中包含的应用程序对AzureAD重新进行身份验证

Question

我有一个WebApplication（例如，位于https://test.com/webapp1的WebApp1）。 WebApp1要求用户使用AzureAD（TenantId：T1，ClientId：C1）进行身份验证。在WebApp1中，存在用于访问同一域下其他应用程序的链接

• https://test.com/webapp2
• https://test.com/webapp3

当用户从WebApp1内部单击WebApp2 / WebApp3链接时，我们是否应该为WebApp2和WebApp3使用不同的ClientId再次实施AzureAd身份验证？

下面是系统的整体图：

1. MainWebApp

Answer 1

如果它们都是不同的应用程序，并且仅共享一个公共的URL DNS名称空间，则可以，对于所有三个应用程序最好使用单独的客户端ID。在租户T1中，您可以为WebApp2和WebApp3创建单独的服务主体（应用程序注册），并在webapp1中为webapp2和webapp3添加权限。并且在您的应用程序代码/ api中，当您调用“ https://test.com/webapp2”时，请尝试在Client-Credential Flow的帮助下生成承载令牌，并将jwt承载令牌添加到api授权标头中，并在WebApp2 / WebApp3中编写身份验证逻辑中间件。