Azure AD配置单应用SSO：仅允许指定动态组访问可行吗？

完全可以实现你的需求。虽然创建应用时的租户可见性只有「单租户」或「多租户」选项，但可以通过应用分配+强制用户分配的组合策略，精准限制仅目标动态组能使用该应用的SSO登录，具体操作步骤如下：

• 创建/确认动态组：先在Microsoft Entra ID中建好符合你需求的动态组，确保组的成员规则已配置完成。
• 应用设为单租户：创建SSO应用时选择「仅限此组织目录中的账户（MyTenant - 单租户）」，这是后续权限控制的基础。
• 分配动态组到应用：
  1. 进入Microsoft Entra ID的「企业应用」，找到目标应用
  2. 打开「用户和组」选项卡，点击「添加用户/组」
  3. 选中你创建的动态组，完成分配操作
• 启用强制分配验证：
  1. 在应用的「属性」选项卡中，找到「需要用户分配？」设置
  2. 将其切换为「是」——这一步是关键，它会阻止租户内未被分配的用户访问该应用的SSO入口，只有目标动态组的成员才能正常登录

这种方案是微软官方支持的权限控制方式，通过动态组的自动成员管理，结合应用的分配限制，就能实现你要的「仅特定动态组使用SSO登录」的需求，无需开放整个租户或多租户访问权限。

内容的提问来源于stack exchange，提问作者Tn0i