0
AADを使用してマルチテナントWeb APIを呼び出すマルチテナントWebアプリケーションを構築したいとします。マルチテナントWebアプリケーションAADを使用してマルチテナントWeb APIを呼び出す
私はこのsampleに従いますが、UWPアプリクライアントをASP.NET Webアプリケーションに置き換えています。
すべて正常に動作しますが、発行者の検証は、カスタマイズされたデータベースの値に基づいたカスタムAuthorizationFilterAttributeを使用して行われることが懸念されます。
別のデータベースを使用するのではなく、ディレクトリを使用するAAD実装を使用することができます。その後、
有効なトークンの発行者のリストを提供するためのオプションは、アズールADアプリケーション登録に存在する場合は、問い合わせされている場合は何らかの形でデータベースが「不正なデータ」
あなたの特定の問題は少し広がっているようです。アクターが悪いデータを挿入すると、達成できる唯一のものはアプリへのアクセスですが、テナントのデータだけです。彼らはまた、定期的なサインアッププロセスを通じて達成することができます。 – juunas
そしてデータベースの侵害はセキュリティ上のリスクです。 – juunas
属性のポイントは、トークンが登録プロセスを完了したテナントからのものであることを確認することです。一部のマルチテナントアプリでは、購読を購入することを意味します。このチェックは、アプリがAADのマルチテナントである場合、テナントがアプリにサインインすることができるため、行われます。 – juunas