Azure API安全：外部访客用户如何获取Client ID？

你不需要让外部访客在他们自己的Azure AD租户中注册新应用并创建专属Client ID，直接把你现有的原生应用的Client ID提供给他们使用就完全可行，原因如下：

• 你的原生应用已经设置了availableToOtherTenants=true，这说明它是一个多租户应用，允许来自任何Azure AD租户（包括外部访客所属的租户）的用户使用该应用ID发起认证请求。
• 当外部访客通过控制台应用使用你的Client ID进行认证时，Azure AD会验证他们作为你租户访客的身份，并颁发一个针对你的API的JWT令牌。这个令牌的核心字段会完全符合你API的验证要求：aud（受众）是你的API资源ID，tid（租户ID）是你的Azure AD租户ID，同时包含该访客用户的身份标识信息。
• 你现有的API JWT验证逻辑不需要做任何额外修改——只要之前的逻辑能正确验证令牌的签名、受众、租户ID等关键内容，访客用户的令牌就能通过验证，因为它本质上依然是由你的租户颁发的合法令牌。

额外注意事项 #

• 请确认你的API对应的企业应用中已经添加了该外部访客用户，确保他们拥有访问API的权限。
• 只有当你需要限制特定外部租户的第三方应用访问你的API时，才需要让对方在自己的租户中注册应用并将其Client ID加入你的API验证白名单，但当前场景下完全不需要这么做。

内容的提问来源于stack exchange，提问作者Ross Dargan