Um aplicativo web do Serviço de Aplicativo (App1) na assinatura Sub1 está configurado para usar o Azure AD como um aplicativo de locatário único; usuários em contoso.com podem fazer login. O que você deve recomendar para permitir que usuários do locatário fabrikam.com se autentiquem no App1?

Para permitir que usuários de outro locatário (fabrikam.com) se autentiquem em um aplicativo configurado como locatário único (contoso.com), você precisa alterar o tipo de conta suportado no registro do aplicativo. Originalmente, ele aceita apenas contas de um único diretório. Ao modificar essa configuração para "Contas em qualquer diretório organizacional (Qualquer diretório do Azure AD - Multilocatário)", o aplicativo permitirá que usuários de outros locatários do Azure AD façam login. Além disso, o endpoint de login do aplicativo precisará ser atualizado para o endpoint comum de multilocatário, que é https://login.microsoftonline.com/common/oauth2/v2.0/authorize, em vez de um endpoint específico do locatário. Configurar o ingresso no Azure AD não se aplica, pois é para ingressar dispositivos no Azure AD, não para autenticação de usuários entre locatários. A Proteção de Identidade do Azure AD é para detecção de risco e remediação, não para habilitar a autenticação multilocatário. Uma política de Acesso Condicional é usada para impor condições de acesso após a autenticação, não para habilitar a autenticação de diferentes locatários.