App1 ist eine Single-Tenant Azure AD-Anwendung, die nur contoso.com-Benutzern die Anmeldung erlaubt. Welche Aktion ermöglicht es Benutzern im fabrikam.com-Tenant, sich bei App1 zu authentifizieren?

Die Konfiguration der unterstützten Kontotypen in der Anwendungsregistrierung und die Aktualisierung des Anmelde-Endpunkts ist die korrekte Aktion. Standardmäßig ist eine Single-Tenant-Anwendung nur für Benutzer im selben Azure AD-Tenant zugänglich. Um Benutzern aus anderen Tenants (wie fabrikam.com) den Zugriff zu ermöglichen, muss die Anwendung in eine Multi-Tenant-Anwendung umgewandelt werden. Dies geschieht durch Ändern der Einstellung "Unterstützte Kontotypen" in der Anwendungsregistrierung auf eine Option, die mehrere Organisationen unterstützt (z.B. "Konten in einem beliebigen Organisationsverzeichnis"). Anschließend muss der Anmelde-Endpunkt aktualisiert werden, um diese Änderung widerzuspiegeln. Azure AD Identity Protection und PIM sind Sicherheits- und Verwaltungsfunktionen, die nicht direkt die Tenant-Beschränkung einer Anwendung aufheben. Eine Richtlinie für bedingten Zugriff kann den Zugriff basierend auf Bedingungen steuern, aber sie kann keine Single-Tenant-Anwendung in eine Multi-Tenant-Anwendung umwandeln.