Azure AD多租户SaaS应用如何配置租户专属主页URL实现Office 365跳转

问题1：不同租户点击应用跳转至对应专属子域名的实现方案 #

• 最优方案为配置统一全局跳转入口：无需为每个租户单独配置主页URL，直接在多租户应用注册的「主页URL」栏填写统一跳转地址，例如https://redirect.myapp.com即可。租户管理员安装应用后，用户从Office 365门户点击应用图标时，Azure会自动携带用户所属租户的身份上下文参数到该跳转地址，你只需要在跳转入口处根据参数匹配对应租户的子域名做重定向即可。
• 备选自定义配置方案：如果部分租户有自定义访问地址的需求，可允许租户管理员在自身租户的企业应用列表中，单独修改你的SaaS应用的主页URL为租户专属子域名，该配置仅对当前租户生效，不会影响其他租户的访问规则。

问题2：主页URL携带租户ID参数的可行性说明 #

该逻辑完全可实现，无需你在应用注册的主页URL中手动添加<tenant_id>占位符，实际运行逻辑如下：

• 用户从Office 365我的应用门户点击应用时，Azure AD会自动在跳转的URL后追加tid参数，参数值即为当前用户所属的Azure AD租户ID
• 你只需要在redirect.myapp.com对应的服务逻辑中，获取URL中的tid参数值，匹配系统中绑定的租户专属子域名，返回302重定向响应即可
• 重定向到租户子域名后，可正常触发MSAL的OIDC授权码流+PKCE认证，只要你提前将所有租户子域名添加到应用注册的「重定向URI」白名单中，认证流程不会受多域名影响。

注意事项：

1. 若租户量级较大，手动添加子域名到重定向URI列表成本过高，可在应用完成发布者验证后，在应用清单的replyUrlsWithType节点配置通配符域名作为重定向地址
2. 你可以在统一跳转入口处提前校验用户登录态，已完成认证的用户可直接跳转子域名，无需重复触发认证流程

内容的提问来源于stack exchange，提问作者Safeer Hussain