通过多租户Azure AD应用程序中的访问令牌来唯一标识用户

Question

我有一个多租户Azure AD应用程序，来自多个租户的用户将登录到该应用程序并为其获取访问令牌。这些令牌将被传递到我的Web应用程序。我试图弄清楚如何唯一地识别用户。在同一租户中，对象ID是唯一标识符。但是，当有多个租户的用户访问我的应用程序时，我该如何唯一地标识他们？我会在访问令牌中获取用户的家庭租户ID吗？

Answer 1

我们可以使用其别名（例如用户主体名称，Users对象ID）来唯一标识来自不同租户的用户。

在Azure AD中，UPN是用户主体名称。它总是在 看起来像电子邮件地址的格式。本质上，它分为三个部分。 用户帐户名称，分隔符（即@符号）和UPN后缀或 域名。其主要目的是在身份验证期间使用 并代表用户身份。

示例：Tailspin销售其SaaS应用程序的订阅。 Contoso和Fabrikam注册了该应用程序。当Alice（alice @ contoso）登录时，应用程序应该知道Alice是Contoso的一部分。