Реализация авторизации через Microsoft/Azure AD на сайте
Мы — команда инженеров с 10+ летним опытом внедрения корпоративной аутентификации: Azure AD, SAML, OAuth, OpenID Connect. За 5 лет на рынке мы реализовали более 40 проектов по интеграции Microsoft 365 в веб-приложения на Laravel, React, Next.js, Vue и других стеках. Даём гарантию на корректную работу аутентификации и бесшовную миграцию с парольного входа. Оценим ваш проект и предложим решение под ключ.
Microsoft OAuth через Azure Active Directory — стандарт для B2B-приложений, корпоративных порталов и SaaS-сервисов, ориентированных на компании, использующие Microsoft 365. Сотрудники входят с корпоративными учётными данными без создания отдельных паролей. Всю сложность протокола берёт на себя Azure AD, разработчику остаётся лишь подружить callback с системой.
Как выбрать тип приложения: single-tenant vs multi-tenant?
Azure AD поддерживает четыре комбинации аккаунтов: single-tenant — только ваш тенант, multi-tenant — любые организации, personal accounts — личные Microsoft/Outlook, и combination — то и другое. Для корпоративных интеграций стандартный выбор — single-tenant или multi-tenant с дополнительной валидацией. Для потребительских приложений — personal + organizational.
Сравнение типов приложений
| Параметр | Single-tenant | Multi-tenant |
|---|---|---|
| Доступ | Только один тенант (ваша компания) | Любой Azure AD тенант |
| Валидация | Не нужна (Azure уже ограничил) | Обязательна: проверка tid |
| Регистрация | Tenant ID явно указан | Tenant = common |
| Безопасность | Высокая (меньше поверхность атаки) | Средняя (зависит от валидации) |
| Пример | Внутренний HR-портал | SaaS для внешних клиентов |
Регистрация приложения в Azure
- portal.azure.com → Azure Active Directory → App registrations → New registration
- Указать Redirect URI:
https://example.com/auth/microsoft/callback - Выбрать Supported account types (single/multi-tenant)
- После создания: сохранить Application (client) ID и Directory (tenant) ID
- Certificates & secrets → New client secret → сохранить значение (видно только сразу)
- API permissions → добавить:
openid,profile,email,User.Read
Microsoft identity platform рекомендует всегда указывать корректные Redirect URIs — именно на них платформа перенаправляет браузер пользователя после аутентификации. Документация Microsoft по регистрации приложения доступна на Microsoft identity platform.
Laravel Socialite
Установите пакет через composer: composer require laravel/socialite socialiteproviders/microsoft-azure. Затем настройте сервис:
// config/services.php
'azure' => [
'client_id' => env('AZURE_CLIENT_ID'),
'client_secret' => env('AZURE_CLIENT_SECRET'),
'redirect' => env('AZURE_REDIRECT_URI'),
'tenant' => env('AZURE_TENANT_ID', 'common'), // 'common' для multi-tenant
],
Контроллер аутентификации
class MicrosoftAuthController extends Controller
{
public function redirect(): RedirectResponse
{
return Socialite::driver('azure')
->scopes(['openid', 'profile', 'email', 'User.Read'])
->redirect();
}
public function callback(): RedirectResponse
{
try {
$msUser = Socialite::driver('azure')->user();
} catch (\Exception $e) {
return redirect('/login')->withErrors(['microsoft' => 'Ошибка авторизации Microsoft']);
}
$user = User::updateOrCreate(
['azure_id' => $msUser->getId()],
[
'name' => $msUser->getName(),
'email' => $msUser->getEmail(),
'email_verified_at' => now(),
'azure_tenant_id' => $msUser->user['tid'] ?? null,
]
);
Auth::login($user, remember: true);
return redirect()->intended('/dashboard');
}
}
Почему при multi-tenant важно валидировать tenant ID?
При single-tenant Azure сам ограничивает круг пользователей, и проверка tenant ID не обязательна. Однако при multi-tenant токен может быть выдан любой организации — и если её tenant ID не добавлен в белый список, злоумышленник из другой компании получит доступ. Валидация tenant ID — критический шаг для безопасности. На практике мы сталкивались с ситуациями, когда разработчики пропускали эту проверку, и через месяц обнаруживали в системе пользователей из чужих организаций. Исправление потом обходилось в 2-3 раза дороже, чем своевременная валидация.
Multi-tenant: валидация тенанта
public function callback(): RedirectResponse
{
$msUser = Socialite::driver('azure')->user();
$tenantId = $msUser->user['tid'] ?? null;
$allowedTenants = explode(',', config('services.azure.allowed_tenants', ''));
if ($allowedTenants && !in_array($tenantId, $allowedTenants)) {
return redirect('/login')->withErrors([
'microsoft' => 'Ваша организация не имеет доступа к этому приложению'
]);
}
// ...
}
Получение дополнительных данных через MS Graph
$graphResponse = Http::withToken($msUser->token)
->get('https://graph.microsoft.com/v1.0/me', [
'$select' => 'id,displayName,mail,userPrincipalName,jobTitle,department,officeLocation',
]);
$profile = $graphResponse->json();
// $profile['jobTitle'] — должность
// $profile['department'] — подразделение
// $profile['officeLocation']— офис
// Получение аватара
$photoResponse = Http::withToken($msUser->token)
->get('https://graph.microsoft.com/v1.0/me/photo/$value');
if ($photoResponse->ok()) {
Storage::disk('public')->put("avatars/{$user->id}.jpg", $photoResponse->body());
}
SAML vs OAuth
Крупные корпоративные клиенты могут запросить поддержку SAML 2.0 вместо OAuth. Azure AD поддерживает оба протокола, но SAML требует отдельной библиотеки и другой архитектуры. По нашим оценкам, внедрение OAuth в 2–3 раза быстрее, чем SAML, и значительно проще в поддержке. Рекомендуем OAuth как основной протокол.
Что входит в работу
При заказе интеграции Azure AD на сайте под ключ вы получаете:
- Документацию по конфигурации Azure (redirect URI, permissions, secrets).
- Реализацию OAuth callback и связывание с учётными записями пользователей.
- Интеграцию MS Graph для получения дополнительных данных (аватар, должность, отдел).
- Валидацию tenant ID для multi-tenant сценариев.
- Тестирование с реальным тенантом — подтверждаем работоспособность.
- Передачу доступов и обучение вашей команды.
Сроки работ
| Этап | Время |
|---|---|
| Регистрация в Azure + настройка разрешений | 0.5 дня |
| OAuth callback + хранение tenant ID | 1.5 дня |
| MS Graph: дополнительные данные, аватар | 1 день |
| Тесты с реальным тенантом | 1 день |
Итого: 4–5 рабочих дней. Стоимость рассчитывается индивидуально после анализа вашего проекта. Закажите интеграцию Azure AD — мы реализуем её за 4-5 рабочих дней. Свяжитесь с нами для оценки вашего проекта — мы подберём оптимальное решение под ваш стек и бизнес-требования.