锁定用户对Azure Active Directory中目录的访问权限

Question

您好我们正在考虑将AAD用作B2B SaaS应用程序的身份提供商。

由于并非所有未来的应用程序用户都拥有Office 365 / AAD帐户和租户，我们正在考虑将其创建为SingleTeant应用程序，并为此目的在内部目录中配置用户（user1@ourappdir.onmicrosoft.com等等。）

然而，据我所知，这将允许任何用户获取所有其他用户的列表，例如使用图形api。

我可以用任何方式锁定它，这样用户只能看到关于他/她自己的信息而不是其他任何事情，无论他们如何尝试。 （Portal，graphApi，powershell ......）

Answer 1

默认情况下，如果您使用Directory role中的用户帐户User来生成访问令牌，并在图表中请求资源，则此令牌仅具有用户自己的权限。

有两种可能的情况，允许您从图表中查看所有用户配置文件。

1. 你called Microsoft Graph in a service or daemon app
2. 您用于生成令牌的用户帐户在您的租户中扮演administrator角色。

您可以尝试使用User角色的用户帐户继续测试。您可以参考https://docs.microsoft.com/en-us/azure/active-directory/active-directory-users-assign-role-azure-portal了解如何分配用户角色。