多环境部署场景下使用Azure AD的正确实践方案是什么？

Azure AD完全支持你需要的多环境隔离能力，不需要为每个环境单独创建租户即可实现测试与生产身份数据的完全拆分，主流实现方案分为两类，可根据团队的安全要求、管理成本选择：

该方案不需要额外创建租户，仅基于现有租户的原生能力即可实现，管理成本最低：

• 各环境单独创建独立的应用注册(Application Registration)：dev、staging、prod分别对应3个完全独立的应用注册实体，各自配置独立的客户端ID、客户端密钥、回调地址、OAuth权限范围，互相不存在关联关系
• 用户访问隔离：创建3个专属安全组分别对应三个环境的应用访问权限，生产用户仅加入prod安全组，测试用户仅加入dev/staging安全组，在应用注册的身份验证配置中开启需要用户分配才能访问应用开关，确保非对应安全组的用户完全无法访问该环境的应用
• 测试用户标识统一：所有测试用户的用户名、邮箱统一加test_前缀，或单独放在Test Users专属组织单元(OU)下，和正式生产用户的存储路径完全区分，避免批量操作时误改生产用户
• 权限边界划分：仅给开发人员分配dev/staging环境应用注册的所有者权限，prod环境的应用注册仅授权给核心运维人员，从权限层面避免开发人员误改生产AD配置

你担心的多租户管理混乱问题可通过Azure原生能力解决，实际管理成本极低：

• 仅需额外创建1个测试租户即可：dev和staging环境共用该测试租户，prod保留现有生产租户，不需要为每个环境单独创建租户
• 跨租户统一管理：通过Azure Lighthouse配置跨租户管理权限，在生产租户的Azure门户中即可直接管理测试租户的所有AD配置、用户、应用注册，不需要反复切换租户登录
• 该方案可实现物理级别的身份数据隔离，测试租户内的所有操作完全不会影响生产租户的任何数据，从根源上避免生产用户被误操作的风险

• 团队规模小于50人、无强合规要求的场景，优先选择单租户软隔离方案，配置流程不超过10分钟，几乎无额外管理成本
• 属于金融、医疗等强监管行业，或团队规模超过100人、非生产与生产操作权限需要完全拆分的场景，优先选择多租户+Azure Lighthouse的硬隔离方案，长期维护更省心

内容的提问来源于stack exchange，提问作者Martin D