Azure应用能否基于Azure AD/本地信息实现租户用户免登录、外部用户需登录？

完全可以通过Azure AD的无缝单点登录（SSO）能力结合应用端的身份验证逻辑，实现你描述的需求。以下是具体的实现方案和关键步骤：

核心思路 #

针对X公司租户内的用户，利用Azure AD无缝SSO实现自动静默登录；针对外部用户，触发交互式登录流程显示登录页。核心是通过静默令牌获取尝试区分两种用户场景。

具体实现步骤 #

1. 配置Azure AD应用注册 #

• 将应用设置为支持多租户或外部用户访问：在Azure门户的应用注册中，选择"账户类型"为任何组织目录中的账户（任何Azure AD目录 - 多租户）和个人Microsoft账户（若仅允许企业外部用户，可选择前者）。
• 启用必要的身份验证流：根据应用类型（SPA、Web应用等）配置对应的授权流，比如SPA需启用"隐式授权和混合流"中的ID令牌和访问令牌。
• 配置回复URL：添加应用的回调地址，确保与应用端配置一致。

2. 启用Azure AD无缝SSO（针对X公司内部用户） #

• 在Azure AD租户的"企业应用"中找到你的应用，启用"无缝单点登录"功能。
• 确保X公司的设备已完成Azure AD混合加入或域加入，且用户在设备上已登录X公司的AD账户。满足这些条件的用户访问应用时，会自动通过Azure AD完成身份验证，无需手动输入凭据。

3. 应用端实现身份验证逻辑 #

使用Microsoft Authentication Library (MSAL)（对应不同平台有MSAL.js、MSAL.NET等）实现以下逻辑：

• 首先尝试静默获取访问令牌：如果用户是X公司内部用户且满足无缝SSO条件，此步骤会成功，直接进入应用。
• 若静默获取失败（比如外部用户、内部用户设备未满足SSO条件），则触发交互式登录流程，显示Azure AD登录页供用户输入凭据。

示例代码（MSAL.js for SPA）

// MSAL配置
const msalConfig = {
  auth: {
    clientId: "你的应用客户端ID",
    authority: "https://login.microsoftonline.com/common", // 多租户模式
    redirectUri: "你的应用回调URL"
  }
};

const msalInstance = new msal.PublicClientApplication(msalConfig);

// 初始化身份验证
async function initAuthentication() {
  try {
    // 尝试静默获取令牌
    const activeAccount = msalInstance.getActiveAccount();
    const tokenResponse = await msalInstance.acquireTokenSilent({
      scopes: ["User.Read"],
      account: activeAccount
    });
    // 静默成功，处理已登录用户逻辑
    handleLoggedInUser(tokenResponse.account);
  } catch (error) {
    // 静默失败，触发交互式登录
    if (error instanceof msal.InteractionRequiredAuthError) {
      const loginResponse = await msalInstance.loginPopup({
        scopes: ["User.Read"]
      });
      handleLoggedInUser(loginResponse.account);
    } else {
      console.error("身份验证错误:", error);
    }
  }
}

// 处理已登录用户
function handleLoggedInUser(account) {
  console.log("当前登录用户:", account.username);
  // 加载应用内容或执行后续逻辑
}

// 页面加载时启动身份验证
document.addEventListener("DOMContentLoaded", initAuthentication);

4. 权限配置 #

在应用注册的"API权限"中添加必要的权限（如User.Read），并由X公司的Azure AD管理员授予管理员同意，确保应用能正常获取用户信息。

关键注意事项 #

• 内部用户若使用未加入域/混合Azure AD的设备，静默获取令牌会失败，此时也会显示登录页，但用户可使用X公司账户登录，这属于合理的 fallback 场景。
• 外部用户登录时，会被引导至Azure AD的统一登录页，输入其外部邮箱后，将跳转到对应租户的身份验证流程完成登录。

内容的提问来源于stack exchange，提问作者Bogdan Andrei