如何让多租户下的多个Teams应用指向同一后端静态Web？

一、Azure AD应用注册的多租户配置 #

• 得把你的Azure AD应用注册设成多租户模式（在应用注册的「概述」里选「任何组织目录中的账户」），这样不同租户的用户都能访问。
• 不用给每个Teams应用重复注册新的Azure AD应用，复用同一个多租户应用注册的应用ID就行，但要给每个Teams应用配置独立的重定向URI：
  • 重定向URI一般用https://teams.microsoft.com/l/auth-callback（适配Teams桌面/网页端），要是有自定义认证逻辑，就填对应静态Web的回调路径。
  • 每个Teams应用的包都要用这个复用的应用ID，同时得在Azure AD应用注册里把所有Teams应用需要的重定向URI都加上。

二、Teams应用包的配置 #

• 每个Teams应用的manifest.json里，TAB_ENDPOINT和TAB_DOMAIN直接用同一静态Web的地址就行，这部分没毛病。
• 至于TAB_AZURE_STORAGE_RESOURCE_ID，要是用的同一个存储账户，也能复用，但得确保存储账户的权限允许多租户访问：
  • 在存储账户的IAM权限里，给多租户的Azure AD应用主体加上Storage Blob Data Reader这类必要角色，或者按需设置存储容器的公共访问级别（不建议随便开公共访问，按需来）。
• 每个Teams应用的manifest.json得保留唯一的id（应用ID）、version、name这些标识字段，但核心的端点配置完全可以复用。

三、静态Web的CORS与权限控制 #

• 给静态Web配置CORS规则，允许https://teams.microsoft.com和静态Web自身域名访问；要是有跨租户的API调用，要么指定可信租户ID，要么按需开范围（别随便用通配符，不安全）。
• 要是静态Web需要用户身份验证，就用多租户Azure AD认证：
  • 在静态Web的认证设置里，关联之前的多租户Azure AD应用注册，把允许的租户设成*（所有租户）或者指定需要的租户ID列表。
  • 静态Web的访问控制策略得能识别不同租户的用户，比如通过tid（租户ID）字段区分用户所属租户，要是有个性化需求，就基于这个做逻辑区分。

四、部署与验证 #

• 每个租户得单独部署Teams应用包（毕竟每个租户的应用目录是独立的），部署时用同一套核心端点配置就行。
• 找不同租户的用户测试各自的Teams应用，看看能不能正常加载静态Web内容，身份验证、数据访问这些环节有没有问题。
• 要是碰到权限报错，就检查这几个地方：Azure AD应用注册的权限范围、存储账户的IAM设置、静态Web的CORS规则是不是配置错了。

内容的提问来源于stack exchange，提问作者MAL