Azure应用服务能否绑定对应客户的外部Azure AD实现专属访问控制？

完全可以实现你预期的访问隔离目标，不需要在自有Azure AD中通过B2B邀请流程为客户企业的用户创建账户。

实际配置逻辑 #

• 你可以为每个专属客户的App Service单独配置内置的身份校验规则，将其信任的Azure AD签发源直接绑定为对应客户的专属Azure AD租户，而非仅信任你自有租户签发的令牌。
• 配置过程不需要在你自有Azure AD中创建对应客户的应用注册项、也不需要发送任何跨租户邀请：只需要在App Service的身份验证设置面板中，选择Azure AD作为身份提供方，将令牌的合法签发方（issuer）固定为对应客户Azure AD租户的专属端点，配置完成后，只有该客户租户内的用户登录获取的合法令牌能通过校验，其他任何租户（包括你自有租户、其他客户租户、未纳入配置的第三方租户）的访问都会被直接在入口层拦截。
• 针对Excel工作簿触发访问的场景，你只需要在Excel端的调用逻辑（Power Query、Office Script、Web Add-in代码）中，把OAuth授权流程的目标租户ID设置为对应客户的租户ID，用户打开定制化Excel时会自动跳转至自己企业的Azure AD登录页完成身份校验，全程不需要你侧维护任何客户侧的用户账号信息。

实操注意事项 #

• 为避免客户租户调整令牌签发规则导致的服务访问异常，除了校验签发方之外，可以同步在App Service的校验规则中增加合法受众（audience）的匹配校验，多维度提升校验可靠性。
• 数据库层的访问权限可以直接复用App Service的校验结果：通过解析通过校验的令牌中携带的用户所属组、身份标识信息，匹配对应的数据库访问规则，不需要额外开发自定义的鉴权逻辑。
• 这种配置方式的访问隔离粒度完全符合你的精细化管控要求：每个客户的App Service只认对应客户租户的身份体系，不存在跨客户的账号混同风险。

内容的提问来源于stack exchange，提问作者Kris