.NET Core多租户认证：Azure跨租户A/B用户自动登录配置咨询

要实现用户根据邮箱域名自动匹配对应Azure AD租户完成认证的需求，你需要从Azure AD应用注册配置和代码逻辑调整两部分入手，具体步骤如下：

一、Azure AD应用注册配置 #

1. 修改应用账户支持类型
   登录Azure门户，找到租户A下的目标应用注册，进入概述页面，点击修改支持的账户类型，选择**账户在任何组织目录（任何Azure AD目录 - 多租户）**并保存。此操作让应用允许接受来自租户B的用户认证请求。

2. （可选）配置租户B的资源访问权限
   如果应用需要访问租户B内的Azure AD资源（如用户信息、组数据等），需在租户B的Azure AD中添加该应用为企业应用，进入API权限页面添加所需权限并完成管理员同意操作。仅需基础登录认证的场景可跳过此步骤。

二、代码逻辑调整（以ASP.NET Core为例） #

核心思路是根据用户输入的邮箱域名，动态指定认证请求的Azure AD租户端点：

1. 定义租户映射关系
   创建邮箱域名与租户ID的映射字典，用于快速匹配对应租户：

   private static readonly Dictionary<string, string> TenantDomainMap = new()
   {
       { "tenantA.com", "租户A的唯一ID" },
       { "tenantB.com", "租户B的唯一ID" }
   };
   

2. 动态修改认证Authority
   在配置OpenID Connect认证中间件时，通过OnRedirectToIdentityProvider事件，根据用户输入的邮箱域名调整认证端点：

   services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
       .AddMicrosoftIdentityWebApp(options =>
       {
           // 替换为你的应用Client ID和密钥
           options.ClientId = "Your_Application_Client_ID";
           options.ClientSecret = "Your_Application_Client_Secret";
           
           options.Events = new OpenIdConnectEvents
           {
               OnRedirectToIdentityProvider = context =>
               {
                   // 从登录请求中获取用户输入的邮箱（需在登录页面收集并传递）
                   if (context.Properties.Items.TryGetValue("login_hint", out var email) && !string.IsNullOrEmpty(email))
                   {
                       var domain = email.Split('@')[1];
                       if (TenantDomainMap.TryGetValue(domain, out var tenantId))
                       {
                           // 动态设置对应租户的认证端点
                           context.ProtocolMessage.Authority = $"https://login.microsoftonline.com/{tenantId}/v2.0";
                       }
                   }
                   return Task.CompletedTask;
               }
           };
       });
   

3. 登录页面传递邮箱提示
   在应用登录页面添加邮箱输入框，提交请求时将邮箱作为login_hint参数传递给认证中间件：

   <form asp-action="Login" method="post">
       <input type="email" name="email" placeholder="输入你的邮箱" required />
       <button type="submit">登录</button>
   </form>
   

   后端处理登录请求时，将邮箱存入认证属性：

   public async Task<IActionResult> Login(string email)
   {
       var properties = new AuthenticationProperties
       {
           Items = { ["login_hint"] = email }
       };
       return Challenge(properties, OpenIdConnectDefaults.AuthenticationScheme);
   }
   

三、验证测试 #

• 使用name@tenantA.com登录，应自动跳转至租户A的Azure AD登录页面完成认证；
• 使用name@tenantB.com登录，应自动跳转至租户B的Azure AD登录页面完成认证。

内容的提问来源于stack exchange，提问作者TeePee