使用合作伙伴组织的 Azure AD 角色

Question

在 Azure 中，我们可以邀请来自另一个活动目录的来宾用户加入您的活动目录。

是否可以重新使用来宾活动目录中的组？

我不想自己管理。我想要一个合作伙伴组织（受邀嘉宾所属的组织）来管理它们。

更新： 我在我的 Web API 应用程序中使用 Azure AD 和组，我可以在其中允许通过

访问特定组

[Authorize(Policy="AdminsOfMyTenant")]

属性

我想做的是能够在我的网络 api 应用程序组中访问另一个租户。

假设合作伙伴 Azure AD 中有一个组“AdminOfPartnerOrg”。然后我想这样使用它：

 [Authorize(Policy="AdminOfPartnerOrg")]
 class MyWebApiController: ControllerBase
{
...
}

Answer 1

您的情况似乎如下所示：

租户A：

租户B：

您的期望：

如果我没记错的话，你希望Group Tenant A-1 member/User可以同时管理Group Tenant B-1或Group Tenant B-2或vice-versa。

案例说明：

假设User Tenant A-1属于Group Tenant A-1。您想要邀请 User Tenant A-1 加入 Tenant B。

但是如果 User Tenant A-1 登录到 Tenant B，User Tenant A-1 将无法再访问 Group Tenant A-1 到 Tenant B。

另一方面，User Tenant A-1 可以管理 Group Tenant B-1 或 Group Tenant B-2 如果 User Tenant A-1 分配了这些组。

现在考虑你的问题"Is it possible to re-use groups from guest active directory?"

如果您希望 User Tenant A-1 登录 Tenant A 或 Tenant B 可以 Group Tenant A-1 登录 Tenant B 吗？

不，这不可能。通过这种方式。 User Tenant A-1 可以管理很多不同的组。但是登录到任何特定的租户，其他租户组在登录的租户中是不可见的。组间切换是可以的。

注意： User Tenant A-1 可以单独管理 Group Tenant A-1 , Group Tenant B-1。但不是在单点登录过程中。他需要在目录之间切换。

更新：

根据您之前的评论，您可以做到。你可以参考这个 docs. Also a slimier explanation you could find

一旦你能够检索到你的组声明，你就可以应用 IF 条件来实现你想要的任何东西。您可以参考以下C# Repository.

代码示例：

c#实现请参考this git hub resource

Using Azure AD roles of partner organization