Azure App object和Service Principal

为了把Identity（身份）和Access Management function（访问管理功能）委派给Azure AD，必须向Azure AD tenant注册应用程序。使用Azure AD注册应用程序，实际是为应用程序建立一个身份配置，以使其可以与Azure AD集成。 在Azure门户中注册应用程序时，能够选择是单租户（仅在您的租户中可访问）仍是多租户（在其余租户中可访问），而且能够选择设置重定向URI，这是访问令牌（Access Token）被发送到的位置 。

当在Portal中注册app时，home tenant会自动建立app instance和service principal。

一，经过UI注册App

登陆到Azure Portal中，选择“Azure Active Directory”服务，从Overview选项卡中点击“App registration”：

注册App的页面以下图所示：

1，Supported Account 类型

共有四种类型的Suppored Account：

• Accounts in this organizational directory only (Microsoft only - Single tenant)：只为本身tenant中的用户建立一个app，简称为single-tenant app
• Accounts in any organizational directory (Any Azure AD directory - Multitenant)：任意AD tenant中的用户都可以使用该app，简称为multi-tenant app。
• Accounts in any organizational directory (Any Azure AD directory - Multitenant) and personal Microsoft accounts (e.g. Skype, Xbox)：支持multi-tenant，并支持我的的微软帐户(personal Microsoft account)
• Personal Microsoft accounts only：只为我的微软帐户（Personal Microsoft account）使用的app

2，Redirect URI

这个配置项是可选的，成功验证身份后，Azure AD把身份验证的响应（Response）返回到此URI。

3，App Instance

当完成app的注册后，一个App对象的全局惟一实例就建立成功了，该实例位于home tenant 或 directory中，而且该app instance拥有一个GUID，称做App ID 或 Client ID。

能够向Portal中添加Secret或Certificate和Secret Scope，使得App能够工做。

二， Application Object

Azure AD应用程序是由其惟一的应用程序对象定义的，该对象位于应用程序注册所在的Azure AD租户（称为应用程序的“主”租户）中。 应用程序对象用做建立一个或多个服务主体（Service Principal）对象的模板或蓝图。 在使用该应用程序的每一个租户中都会建立一个服务主体。与面向对象编程中的class类似，应用程序对象具备一些静态属性，这些属性应用于全部已建立的服务主体（或应用程序实例）。

应用程序对象描述了一个应用程序的三个方面：服务如何发出令牌以访问应用程序，应用程序可能须要访问的资源以及应用程序能够采起的操做。

“App registrations” 用于列出和管理home tenant中的app：

三，Service Principal

若是一个实体须要访问由Azure AD租户保护的资源，那么该实体必须由安全主体（security principal）所表明。此要求对用户（用户主体）和应用程序（服务主体）均适用。安全主体定义Azure AD租户中用户/应用程序的访问策略和权限，例如登陆期间对用户/应用程序的身份验证以及资源访问期间的受权。

服务主体（service principal）是单个租户或目录中全局应用程序对象的本地表示形式（或应用程序实例）。服务主体是从应用程序对象建立的具体实例，并从该应用程序对象继承某些属性。在使用该应用程序的每一个租户中建立一个服务主体，并引用全局惟一的应用程序对象。服务主体对象定义了应用程序能够在特定租户中实际执行的操做，能够访问该应用程序的人员以及该应用程序能够访问的资源。

当一个应用程序被授予访问租户中资源的权限时（注册或赞成时），同时建立一个服务主体对象。您还可使用Azure PowerShell，Azure CLI，Microsoft Graph，Azure门户和其余工具在租户中建立服务主体对象。若是使用门户 UI，那么在注册应用程序时会自动建立服务主体。门户中的Enterprise applications用于列出和管理租户中的服务主体，并能够看到服务主体的权限，用户赞成的权限，用户已经赞成的权限，登陆信息等等。

四，Application 对象和Service Principal之间的关系

应用程序对象是在全部租户中使用的应用程序的全局表示形式，服务主体是在特定租户中使用的本地表示形式。应用程序对象用做模板，从该模板派生通用属性和默认属性以用于建立相应的服务主体对象。 所以，应用程序对象与软件应用程序具备1：1的关系，与其对应的服务主体对象具备1：many的关系。 注意，必须在使用该应用程序的每一个租户中建立一个服务主体，使其可以为登陆（sign-in）和/或访问由该租户保护的资源创建身份。单租户（single-tenant）的应用程序只有一个服务主体（在其home租户中），该Service Principal在在应用程序注册期间被建立。多租户（multi-tenant）的Web应用程序/ API在每一个租户中都会建立一个服务主体，来自该租户的每一个用户都使用该服务主体。

注意，对应用程序对象所作的任何更改只会反映到在应用程序的home租户（注册该租户的租户）中的服务主体对象。 对于多租户应用程序，对应用程序对象的更改不会反映在任何消费者租户的服务主体对象中，除非经过“Application Access Panel”把权限删除，并再次授予访问权限。 另请注意，默认状况下，本机应用程序已注册为多租户。

 

 

参考文档：

Microsoft identity platform documentation

Application and service principals

Quickstart: Register an application with the Microsoft identity platform