Поделиться через


Арендочность в идентификаторе Microsoft Entra

Идентификатор Microsoft Entra упорядочивает такие объекты, как пользователи и приложения, в группы, называемые клиентами. Клиенты дают возможность администратору задавать политики на всех пользователей в организации и для всех приложений, которыми владеет организация, для обеспечения их безопасности и действующих политик.

Доступ к приложению

Когда речь идет о разработке приложений, разработчики могут настроить свое приложение как однотенантным, так и мультитенантным во время регистрации приложения.

  • Однотенантные приложения доступны только в клиенте, для которого они были зарегистрированы, который также называется "домашний клиент".
  • Мультитенантные приложения доступны пользователям как в домашнем клиенте, так и в других клиентах.

При регистрации приложения его можно настроить для одного клиента или мультитенантного, задав аудиторию следующим образом.

Аудитория Одно- или мультитенантное Каким учетным записям разрешен вход
Только учетные записи в этом каталоге Однотенантное приложение Все учетные записи пользователей и гостевые учетные записи в вашем каталоге могут использовать ваше приложение или API.
Используйте этот вариант, если целевой аудиторией являются сотрудники вашей организации.
Учетные записи в любом каталоге Microsoft Entra Мультитенантные Все пользователи и гости с рабочей или учебной учетной записью Майкрософт могут использовать ваше приложение или API. Сюда входят школы и компании, использующие Microsoft 365.
Используйте этот вариант, если целевой аудиторией являются предприятия или учебные заведения.
Учетные записи в любом каталоге Microsoft Entra и личных учетных записях Майкрософт (например, Skype, Xbox, Outlook.com) Мультитенантные Все пользователи с рабочей, учебной или личной учетной записью Майкрософт могут использовать ваше приложение или API. Сюда входят школы и компании, использующие Microsoft 365, а также личные учетные записи, которые используются для входа в Xbox, Скайп и другие службы.
Используйте этот параметр для широкого круга учетных записей Майкрософт.

Рекомендации по мультитенантным приложениям

Создание больших мультитенантных приложений может быть сложным из-за количества различных политик, которые ИТ-администраторы могут задать в своих клиентах. Если вы решили создать мультитенантное приложение, выполните следующие рекомендации.

  • Тестируйте приложение в клиенте с настроенной политикой условного доступа.
  • Следуйте принципу наименьшего доступа для пользователей, чтобы убедиться, что ваше приложение запрашивает только те разрешения, которые ему действительно нужны.
  • Укажите соответствующие имена и описания для всех разрешений, предоставляемых в рамках приложения. Это поможет пользователям и администраторам понять, на что они дают свое согласие, когда используют API вашего приложения. Дополнительные сведения см. в разделе рекомендаций в руководстве по разрешениям.

Следующие шаги

Дополнительные сведения о аренде в идентификаторе Microsoft Entra см. в следующих сведениях: