Übergibt der Azure AD v2.0-Endpunkt dieselbe Namenskennung wie die Zugriffssteuerungsdienste für dasselbe Microsoft-Konto?

Question

Wir verwenden derzeit Azure Access Control Services (***. Accesscontrol.windows.net), um Kunden mit persönlich verwalteten Microsoft-Konten (Identity Provider) die Anmeldung auf unseren Kunden-Self-Service-Portalen (Relying Party Applications) zu ermöglichen. Das sind Angular-Apps, die von Web-API-Services unterstützt werden. In unseren Zugriffskontrolldiensten werden derzeit die Namenskennung http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier von Windows Live ID an die APIs der vertrauenden Seite übergeben, die dieses Token mit einer Identität in unseren Anwendungen abgleichen.

Wir suchen nach Enterprise und Personal Microsoft Accounts mit der Azure AD v2.0 service, aber nicht verstehen, wie unsere bestehenden Benutzer auf das neue System migrieren. Die Codebeispiele schlagen vor, dass die OWIN middleware die NameIdentifier claim vom Identity Provider des Benutzers zurückgibt, aber wenn dieser Identity Provider das gleiche Microsoft-Konto (Windows Live ID) ist, wird dies die gleiche NameIdentifier werden, die wir derzeit über Access Control Services Passthrough erhalten ?

Jede Hilfe und/oder Dokumentation, die klarstellt, wie dieser Übergang funktionieren soll, wäre willkommen.

Answer 1

Wenn der Name, der aus ACS kommt, der zufällig generierte Wert ist, dann sind Sie festgefahren, weil dieser Wert für den ACS/RP/Benutzer eindeutig ist. Wenn die tatsächliche Live-ID zurückgegeben wird, stimmt sie natürlich nur überein, wenn der Azure AD-Benutzer dieselbe E-Mail-Adresse hat.

Ich weiß nicht, ob irgendwelche Dokumentation da draußen beschreibt, wie diese Situation behandelt wird. Ich empfehle, nur eine einmalige Authentifizierung von jeder Quelle innerhalb derselben Sitzung zu verlangen und die beiden Ergebnisse zu verbinden. Das im Grunde

1. beglaubigen zu Azure AD
2. Ihre App bedeuten würde: Hey Sie haben noch keine Benutzerdaten, haben Sie eine Live ID zugeordnet werden soll?
3. Authentifizieren Live ID
4. Mitarbeiterin Live ID mit Azure AD

Dann, wenn sie wollen, mit unterzeichnen entweder in der Zukunft Konten, die Sie eine Verbindung zwischen den beiden haben.