Inicio de sesión único (SSO) multiinquilino de Azure AD para aplicaciones ASP.NET

¿Qué es el multiinquilino de Azure AD?

Azure Multi-tenant se refiere a un modo de operación en el que una única instancia de un servicio o aplicación de Azure atiende a varios clientes, conocidos como inquilinos, en un entorno compartido. En este modo, cada inquilino está aislado entre sí y los datos de usuario de un inquilino son inaccesibles para otros inquilinos.

El multiinquilino de Azure también proporciona beneficios como mayor escalabilidad y rentabilidad, ya que los recursos físicos, como el almacenamiento, se pueden compartir entre múltiples inquilinos y la capacidad de incorporar rápidamente nuevos clientes y expandir los servicios a nuevos mercados. Sin embargo, también requiere un diseño y una gestión cuidadosos para garantizar que los datos y recursos de los inquilinos estén adecuadamente aislados y protegidos.

Pasos para configurar el inicio de sesión único (SSO) multiinquilino de Azure AD

1. Configurar multiinquilino en Azure AD

• Inicia sesión en Portal de Azure AD como administrador.
• Seleccione Directorio activo de Azure.

• Seleccione Registros de aplicaciones.

• Haga clic en Nuevo registro.

• Asigne un nombre y elija los tipos de cuenta admitidos como Cuentas en cualquier directorio organizacional (Cualquier directorio de Azure AD - Multiinquilino).
• En el campo URL de redireccionamiento, proporcione la URL ACS proporcionada en el Metadatos del proveedor de servicios pestaña del complemento y haga clic en el Registro del botón.

• Vuelve a la General pestaña de su directorio activo, copie el Dominio principal y tenlo a mano.

• Copia el ID de aplicación desde la aplicación configurada y téngala a mano.

• Navegue hasta Exponer una API desde el panel de menú izquierdo.

• Haga clic en el Set botón y reemplace el URL de identificación de la aplicación https://Primary_Domain/Appication-Id que has copiado anteriormente y pulsa en Guardar.

• Visite la Autenticación pestaña en el panel izquierdo y seleccione Tokens de identificación (utilizados para flujos implícitos e híbridos) opción también asegúrese de que los tipos de cuentas admitidos sean Cuentas en cualquier directorio organizacional (Cualquier directorio de Azure AD - Multiinquilino) a continuación, haga clic en Guardar.

• Navegue hasta Permisos API ⇒ Agregar permiso y seleccionar Microsoft Graph.

• Haga clic en Permiso de aplicación, luego busca Usuario.Leer.todo Una vez seleccionada la opción, haga clic en Agregar permisos del botón.

• Para continuar haga clic en Otorgar consentimiento del administrador para la demostración.

• Volver a la Directorio activo de Azure ⇒ Registros de aplicaciones ventana y haga clic en Endpoints.

• Esto navegará hasta una ventana con múltiples URL.
• Copia el Documento de metadatos de la federación URL para obtener los puntos finales necesarios para configurar su proveedor de servicios.

2. Configurar ASP.NET como proveedor de servicios

• Pegar el URL de metadatos de federación existentes Configuración del proveedor de servicios pestaña del complemento y haga clic en Obtener metadatos.

• En los ajustes de configuración de IdP, verifique el Aplicación multiusuario .

• Pegar el URI de ID de aplicación desde la pestaña Exponer una API y péguela en el ID de entidad SP/Emisor bajo el Proveedor de servicios .

• Reemplace también la URL de inicio de sesión de SAML y la URL de cierre de sesión de SAML con https://login.microsoft.com/common/saml2 luego haga clic en ahorrar.

• Visite la Configuración de acceso sección, debajo de la Configuracion adicional configuración, elija restringir o permitir que ID de inquilinos particulares realicen el inicio de sesión único y agregue los ID de inquilinos separados por comas.

• Haga clic en el configuración de prueba e inicie sesión con el administrador del inquilino por primera vez para permitir el inicio de sesión SSO para ese inquilino.

Hemos configurado exitosamente Microsoft Entra ID (anteriormente Azure AD) como una aplicación multiinquilino así como configurada Inicio de sesión único (SSO) de SAML para aplicaciones ASP.NET como proveedor de servicios y Azure Active Directory como proveedor de identidad. También podemos configurar SAML Single Sign-On (SSO) para aplicaciones ASP.NET usando varios proveedores de identidad como ADFS, Okta, Google, Auth0, PingFederate, Microsoft365, Salesforce y muchos más. Para consultar otros proveedores de identidad, haga clic en esta página.

Recursos adicionales

• Inicio de sesión único (SSO) de ASP.NET SAML
• ASP.NET SAML SSO usando Azure AD como IDP
• Preguntas Frecuentes