将Microsoft Bot Framework Bot限制为某些AD租户

Question

要使用Microsoft Bot Framework SDK 4.x创建漫游器，必须在启用了Multitenant选项的情况下在Azure Active Directory中创建应用程序注册（“谁可以使用此应用程序或访问此API？=>组织目录”）。

如果一个人没有在僵尸程序代码中采取安全措施，那么世界上每个人都可以访问该僵尸程序并可以与其聊天。当设计专门用于MS Teams通道的机器人时，在Web通道上设计公共机器人时通常不便使用。特别是由于租户中的来宾用户经常偶然发现这些应用程序/机器人，因此他们也可能开始使用它们。解决方案是查询AD / MS图，并检查当前用户是否有权使用它。

还有其他限制机器人/应用程序使用的方法吗？ 如果没有，那么是否有人在如何以安全，可靠的方式将bot限制在代码中而没有任何副作用方面有最佳的最佳实践？

非常感谢您！

Answer 1

在您的应用设置文件中保留租户ID。 在Bot Post请求上，检查turnContext.Activity.Conversation.TenantId == [应用设置中的预期租户ID]，然后仅继续执行。

Answer 2

您可以通过更改 bot azure 广告应用注册清单中的 signInAudience="AzureADMyOrg" 将 bot 限制为单个租户。