Azure AD Multi-Tenant Single Sign-On (SSO) für ASP.NET-Anwendungen

Was ist Azure AD Multi-Tenant?

Azure Multi-Tenant bezieht sich auf einen Betriebsmodus, bei dem eine einzelne Instanz eines Azure-Dienstes oder einer Azure-Anwendung mehrere Kunden, sogenannte Mandanten, in einer gemeinsamen Umgebung bedient. In diesem Modus ist jeder Mieter voneinander isoliert und die Benutzerdaten eines Mieters sind für andere Mieter nicht zugänglich.

Azure Multi-Tenant bietet auch Vorteile wie: erhöhte Skalierbarkeit und Kosteneffektivität, da physische Ressourcen wie Speicher von mehreren Mandanten gemeinsam genutzt werden können und die Möglichkeit besteht, schnell neue Kunden zu gewinnen und Dienste auf neue Märkte auszuweiten. Es erfordert jedoch auch eine sorgfältige Planung und Verwaltung, um sicherzustellen, dass Mieterdaten und -ressourcen ordnungsgemäß isoliert und gesichert sind.

Schritte zum Konfigurieren von Azure AD Multi-Tenant Single Sign-On (SSO)

1. Konfigurieren Sie die Mandantenfähigkeit in Azure AD

• Einloggen in Azure AD-Portal als Administrator.
• Auswählen Azure Active Directory.

• Auswählen App-Registrierungen.

• Klicken Sie auf Neue Registrierung.

• Vergeben Sie einen Namen und wählen Sie die unterstützten Kontotypen aus Konten in einem beliebigen Organisationsverzeichnis (jedes Azure AD-Verzeichnis – Multitenant).
• Geben Sie im Feld „Umleitungs-URL“ die im bereitgestellte ACS-URL an Metadaten des Dienstanbieters Registerkarte des Plugins und klicken Sie auf Registrieren .

• Navigieren Sie zurück zu Überblick Klicken Sie auf die Registerkarte Ihres aktiven Verzeichnisses und kopieren Sie die Datei Primäre Domäne und halten Sie es griffbereit.

• Kopieren Sie die Anwendungs-ID aus der konfigurierten App und halten Sie es griffbereit.

• Navigieren Eine API verfügbar machen aus dem linken Menübereich.

• Klicken Sie auf die Sept Taste und ersetzen Sie die URL der ANWENDUNGS-ID mit https://Primary_Domain/Appication-Id das Sie zuvor kopiert haben und klicken Sie auf Speichern.

• Gehen Sie zum Authentifizierung Registerkarte im linken Bereich und wählen Sie ID-Tokens (wird für implizite und hybride Flüsse verwendet) Stellen Sie außerdem sicher, dass die Kontotypen unterstützt werden Konten in einem beliebigen Organisationsverzeichnis (jedes Azure AD-Verzeichnis – Multitenant) dann klicken Sie auf Speichern.

• Navigieren API-Berechtigungen ⇒ Berechtigung hinzufügen und wählen Sie Microsoft Graph.

• Klicken Sie auf Anwendungserlaubnis, dann suchen nach Benutzer.Alles.lesen Sobald die Option ausgewählt ist, klicken Sie auf Berechtigungen hinzufügen .

• Um fortzufahren, klicken Sie auf Erteilen Sie die Administratoreinwilligung für die Demo.

• Gehen Sie zurück zu Azure Active Directory ⇒ App-Registrierungen Fenster und klicken Sie auf Endpunkte.

• Dadurch wird zu einem Fenster mit mehreren URLs navigiert.
• Kopieren Sie die Föderationsmetadatendokument URL zum Abrufen der für die Konfiguration Ihres Dienstanbieters erforderlichen Endpunkte.

2. Konfigurieren Sie ASP.NET als Dienstanbieter

• Fügen Sie das ein Föderationsmetadaten-URL der Einrichtung des Dienstanbieters Registerkarte des Plugins und klicken Sie auf Metadaten abrufen.

• Überprüfen Sie in den IdP-Konfigurationseinstellungen das Multi-Tenant-Anwendung .

• Fügen Sie das ein Anwendungs-ID-URI Klicken Sie auf der Registerkarte „API verfügbar machen“ und fügen Sie sie in die Datei ein SP-Entitäts-ID/Aussteller unter dem Dienstanbieter Tab.

• Ersetzen Sie auch die SAML-Anmelde-URL und die SAML-Abmelde-URL durch https://login.microsoft.com/common/saml2 dann klicken Sie auf Speichern.

• Gehen Sie zum Anmeldeeinstellungen Abschnitt unter dem Zusätzliche Konfiguration Wählen Sie in dieser Einstellung aus, ob bestimmte Mandanten-IDs die Durchführung von Single Sign-On einschränken oder zulassen möchten, und fügen Sie die durch Kommas getrennten Mandanten-IDs hinzu.

• Klicken Sie auf Testkonfiguration und melden Sie sich zum ersten Mal mit dem Mandantenadministrator an, um die SSO-Anmeldung für diesen Mandanten zu ermöglichen.

Wir haben erfolgreich konfiguriert Microsoft Entra ID (ehemals Azure AD) als mandantenfähige Anwendung sowie konfiguriert SAML Single Sign-On (SSO) für ASP.NET-Anwendungen als Dienstanbieter und Azure Active Directory als Identitätsanbieter. Wir können auch SAML Single Sign-On (SSO) für ASP.NET-Anwendungen konfigurieren verschiedene Identitätsanbieter wie ADFS, Okta, Google, Auth0, PingFederate, Microsoft365, Salesforce und viele mehr. Um andere Identitätsanbieter zu überprüfen, klicken Sie auf hier.

Weitere Informationen

• ASP.NET SAML Single Sign-On (SSO)
• ASP.NET SAML SSO mit Azure AD als IDP
• Häufig gestellte Fragen (FAQs)