限制客户端应用程序只能访问特定的网站 api

Question

我们正在 Azure Active Directory 中配置一个新的客户端应用程序，用于通过使用应用程序注册功能访问具有客户端凭据流的特定 Web api。我会确保 Azure Active Directory 只会为特定的注册网站 api（资源）颁发 Authz 令牌，并在目标客户端应用程序请求不同资源的令牌时返回错误。 到目前为止，我们已经能够阻止对特定网站 api 的客户端的访问，但我们想要的是配置 AAD，以便特定的客户端 ID 只能调用特定的网站 api（让我们比如说，我们想“改变观点”）。 有没有办法在 Azure AD 上配置客户端应用程序，以便它能够只为特定资源获取令牌，而不管我们如何在 Azure Active Directory 上配置其他 Web api？

Answer 1

您的客户端应用程序可能会为不同的资源获取令牌，但不会为不允许的角色（配置的权限）获取令牌，这是授权的基础，而不仅仅是令牌。