Authentification unique (SSO) multilocataire Azure AD pour les applications ASP.NET

Qu’est-ce que le multi-tenant Azure AD ?

Azure Multi-tenant fait référence à un mode de fonctionnement dans lequel une seule instance d'un service ou d'une application Azure sert plusieurs clients, appelés locataires, dans un environnement partagé. Dans ce mode, chaque locataire est isolé les uns des autres et les données utilisateur d'un locataire sont inaccessibles aux autres locataires.

Azure multi-tenant offre également des avantages tels que évolutivité accrue ainsi que rentabilité, car les ressources physiques telles que le stockage peuvent être partagées entre plusieurs locataires, et la possibilité d'intégrer rapidement de nouveaux clients et d'étendre les services à de nouveaux marchés. Cependant, cela nécessite également une conception et une gestion minutieuses pour garantir que les données et les ressources des locataires sont correctement isolées et sécurisées.

Étapes pour configurer l’authentification unique (SSO) multilocataire Azure AD

1. Configurer la multilocation dans Azure AD

• Se connecter à Portail Azure AD en tant qu'administrateur.
• Sélectionnez Azure Active Directory.

• Sélectionnez Inscriptions d'applications.

• Cliquez sur Nouvelle inscription.

• Attribuez un nom et choisissez les types de comptes pris en charge comme Comptes dans n'importe quel annuaire organisationnel (n'importe quel annuaire Azure AD - Multitenant).
• Dans le champ URL de redirection, indiquez l'URL ACS fournie dans le champ Métadonnées du fournisseur de services onglet du plugin et cliquez sur le Inscription .

• Revenez au Vue d’ensemble de votre Active Directory, copiez le Domaine principal et gardez-le à portée de main.

• Copiez le ID d'application depuis l'application configurée et conservez-la à portée de main.

• Accédez à Exposer une API dans le panneau de menu de gauche.

• Cliquez Ensemble bouton et remplacez le URL de l'identifiant de la demande comprenant https://Primary_Domain/Appication-Id que vous avez copié précédemment et cliquez sur Épargnez.

• Allez à Authentification onglet dans le panneau de gauche et sélectionnez Jetons d'identification (utilisés pour les flux implicites et hybrides) option, assurez-vous également que les types de comptes pris en charge sont Comptes dans n'importe quel annuaire organisationnel (n'importe quel annuaire Azure AD - Multitenant) puis cliquez sur Épargnez.

• Accédez à Autorisations d'API ⇒ Ajouter une autorisation et sélectionnez Microsoft Graph.

• Cliquez sur Autorisation d'application, puis recherchez Utilisateur.Lire.Tout une fois l'option sélectionnée puis cliquez sur Ajouter des autorisations .

• Pour continuer, cliquez sur Accorder le consentement de l'administrateur pour la démo.

• Retour à Azure Active Directory ⇒ Inscriptions d'applications fenêtre et cliquez sur Endpoints.

• Cela mènera à une fenêtre avec plusieurs URL.
• Copiez le Document de métadonnées de la fédération URL pour obtenir les points de terminaison requis pour la configuration de votre fournisseur de services.

2. Configurez ASP.NET en tant que fournisseur de services

• Collez le URL des métadonnées de la fédération dans l' Configuration du fournisseur de services onglet du plugin et cliquez sur Récupérer les métadonnées.

• Dans les paramètres de configuration de l'IdP, cochez la case Application multi-locataires option.

• Collez le URI de l'ID d'application depuis l'onglet Exposer une API et collez-le dans le ID d'entité SP/émetteur sous le Prestataire de services languette.

• Remplacez également l'URl de connexion SAML et l'URl de déconnexion SAML par https://login.microsoft.com/common/saml2 puis cliquez sur enregistrer.

• Allez à Paramètres de connexion section, sous la Configuration supplémentaire , choisissez de restreindre ou d'autoriser des ID de locataire particuliers à effectuer une authentification unique et d'ajouter les ID de locataire séparés par des virgules.

• Cliquez sur le configuration des tests et connectez-vous avec l'administrateur du locataire pour la première fois pour autoriser la connexion SSO pour ce locataire.

Nous avons configuré avec succès Microsoft Entra ID (anciennement Azure AD) en tant qu'application multi-tenant ainsi que configurée Authentification unique SAML (SSO) pour l'application ASP.NET en tant que fournisseur de services et Azure Active Directory en tant que fournisseur d'identité. Nous pouvons également configurer l'authentification unique SAML (SSO) pour les applications ASP.NET à l'aide de divers fournisseurs d'identité tels que ADFS, Okta, Google, Auth0, PingFederate, Microsoft365, Salesforce et bien d'autres. Pour vérifier d'autres fournisseurs d'identité, cliquez sur ici.

Ressources additionnelles

• Authentification unique ASP.NET SAML (SSO)
• ASP.NET SAML SSO utilisant Azure AD comme IDP
• Foire aux questions (FAQ)