C# MVC 多租户Azure Log Analytics聚合WebApp接入与授权咨询

单用户绑定多Azure租户的接入流程设计 #

这套流程完全匹配你的自定义账户体系，核心是把自有用户身份和Azure租户的授权身份做解耦，彻底避免不同租户间的身份串扰：

• 流程前置校验
  用户必须先通过你自己的自定义账户体系完成登录，拿到服务端下发的自有会话标识，没有完成自有登录的情况下，所有添加租户的操作全部拦截，不能把Azure OAuth登录作为主认证逻辑。
• 授权请求生成逻辑
  用户点击「添加Azure租户」按钮后，服务端立刻生成绑定了当前自有用户ID、带一次性防重放参数的OAuth2授权请求，这里的授权端点不要硬编码单个租户ID，使用通用登录入口让用户可以自由选择要授权的目标租户，用户侧看到的就是熟悉的微软账号授权页，自主选择要接入的租户即可。
• 回调校验与落库逻辑
  微软侧带着授权码回调到你的MVC应用时，服务端第一时间校验请求带的防重放参数是否和当前自有用户会话中预留的匹配，确认无重放风险后，用授权码换取对应租户的访问令牌，从令牌的claims字段里提取租户ID、用户在该租户下的唯一对象ID、租户基础元信息，先查当前自有用户下是否已经绑定过该租户ID，没绑定过的话就把关联关系、授权信息加密落到数据库里。
• 租户列表渲染逻辑
  用户每次登录后，服务端拉取该自有用户下关联的所有租户元数据（租户名称、已配置的Log Analytics资源项）渲染到前端，支持单个租户解绑、单个租户状态查看，绝对不要把各个租户的敏感令牌信息下发到前端，前端只展示非敏感的元数据。

一次授权后长期调用Azure API的实现逻辑 #

这里要明确：Azure平台侧的访问令牌（access_token）本身有固定的1小时左右的生命周期，没有办法实现真正的永久单次授权，长期调用的核心是靠刷新令牌机制做无感知自动续期：

• 授权请求的前置权限要求
  首次发起OAuth授权请求的时候，必须把offline_access权限加到申请范围里，这是获取刷新令牌（refresh_token）的必要条件，漏加这个权限的话，换回来的授权响应里根本不会带刷新令牌，后续根本没法做自动续期。
• 服务端存储设计
  每个绑定的租户对应一条独立的存储记录，加密存储对应的刷新令牌、上次缓存的访问令牌、访问令牌的过期时间戳、上次成功续期的时间，所有敏感令牌只存在服务端，不要在前端Cookie、LocalStorage里存任何令牌信息。
• 调用时的自动续期逻辑
  每次需要调用某个租户对应的Azure API（比如读取聚合的Log Analytics数据）前，先查数据库里缓存的该租户访问令牌的状态：
  • 如果距离令牌过期时间还有5分钟以上，直接拿现有访问令牌发起请求
  • 如果距离过期时间不足5分钟、或者已经过期，就用存储的刷新令牌调用对应的令牌接口，换取一对新的访问令牌和刷新令牌，更新到数据库的对应租户记录里，再用新的访问令牌发请求
• 失效场景兜底
  如果续期时收到令牌失效的相关错误（比如用户主动撤销了授权、修改了账号密码导致刷新令牌失效、租户侧收回了应用的访问权限），就把该租户的状态标记为「授权失效」，前端提示用户需要重新走一遍授权流程绑定该租户即可，不要因为单个租户的授权失效把用户的自有账户登录态直接踢掉。

实操注意事项

• 续期逻辑做单租户失败隔离，不要因为一个租户的刷新令牌失效，就阻塞其他所有租户的API调用流程
• 拿到租户授权后要做实际的权限校验，确认授权用户真的有对应Log Analytics资源的访问权限，不要拿到租户ID就默认可以拉取数据

内容的提问来源于stack exchange，提问作者Lukas Antanavičius