Интеграция Microsoft Azure AD на сайт: авторизация под ключ

Реализация авторизации через Microsoft/Azure AD на сайте

Мы — команда инженеров с 10+ летним опытом внедрения корпоративной аутентификации: Azure AD, SAML, OAuth, OpenID Connect. За 5 лет на рынке мы реализовали более 40 проектов по интеграции Microsoft 365 в веб-приложения на Laravel, React, Next.js, Vue и других стеках. Даём гарантию на корректную работу аутентификации и бесшовную миграцию с парольного входа. Оценим ваш проект и предложим решение под ключ.

Microsoft OAuth через Azure Active Directory — стандарт для B2B-приложений, корпоративных порталов и SaaS-сервисов, ориентированных на компании, использующие Microsoft 365. Сотрудники входят с корпоративными учётными данными без создания отдельных паролей. Всю сложность протокола берёт на себя Azure AD, разработчику остаётся лишь подружить callback с системой.

Как выбрать тип приложения: single-tenant vs multi-tenant?

Azure AD поддерживает четыре комбинации аккаунтов: single-tenant — только ваш тенант, multi-tenant — любые организации, personal accounts — личные Microsoft/Outlook, и combination — то и другое. Для корпоративных интеграций стандартный выбор — single-tenant или multi-tenant с дополнительной валидацией. Для потребительских приложений — personal + organizational.

Сравнение типов приложений

Регистрация приложения в Azure

1. portal.azure.com → Azure Active Directory → App registrations → New registration
2. Указать Redirect URI: https://example.com/auth/microsoft/callback
3. Выбрать Supported account types (single/multi-tenant)
4. После создания: сохранить Application (client) ID и Directory (tenant) ID
5. Certificates & secrets → New client secret → сохранить значение (видно только сразу)
6. API permissions → добавить: openid, profile, email, User.Read

Microsoft identity platform рекомендует всегда указывать корректные Redirect URIs — именно на них платформа перенаправляет браузер пользователя после аутентификации. Документация Microsoft по регистрации приложения доступна на Microsoft identity platform.

Laravel Socialite

Установите пакет через composer: composer require laravel/socialite socialiteproviders/microsoft-azure. Затем настройте сервис:

// config/services.php 'azure' => [ 'client_id' => env('AZURE_CLIENT_ID'), 'client_secret' => env('AZURE_CLIENT_SECRET'), 'redirect' => env('AZURE_REDIRECT_URI'), 'tenant' => env('AZURE_TENANT_ID', 'common'), // 'common' для multi-tenant ], 

Контроллер аутентификации

class MicrosoftAuthController extends Controller { public function redirect(): RedirectResponse { return Socialite::driver('azure') ->scopes(['openid', 'profile', 'email', 'User.Read']) ->redirect(); } public function callback(): RedirectResponse { try { $msUser = Socialite::driver('azure')->user(); } catch (\Exception $e) { return redirect('/login')->withErrors(['microsoft' => 'Ошибка авторизации Microsoft']); } $user = User::updateOrCreate( ['azure_id' => $msUser->getId()], [ 'name' => $msUser->getName(), 'email' => $msUser->getEmail(), 'email_verified_at' => now(), 'azure_tenant_id' => $msUser->user['tid'] ?? null, ] ); Auth::login($user, remember: true); return redirect()->intended('/dashboard'); } } 

Почему при multi-tenant важно валидировать tenant ID?

При single-tenant Azure сам ограничивает круг пользователей, и проверка tenant ID не обязательна. Однако при multi-tenant токен может быть выдан любой организации — и если её tenant ID не добавлен в белый список, злоумышленник из другой компании получит доступ. Валидация tenant ID — критический шаг для безопасности. На практике мы сталкивались с ситуациями, когда разработчики пропускали эту проверку, и через месяц обнаруживали в системе пользователей из чужих организаций. Исправление потом обходилось в 2-3 раза дороже, чем своевременная валидация.

Multi-tenant: валидация тенанта

public function callback(): RedirectResponse { $msUser = Socialite::driver('azure')->user(); $tenantId = $msUser->user['tid'] ?? null; $allowedTenants = explode(',', config('services.azure.allowed_tenants', '')); if ($allowedTenants && !in_array($tenantId, $allowedTenants)) { return redirect('/login')->withErrors([ 'microsoft' => 'Ваша организация не имеет доступа к этому приложению' ]); } // ... } 

Получение дополнительных данных через MS Graph

$graphResponse = Http::withToken($msUser->token) ->get('https://graph.microsoft.com/v1.0/me', [ '$select' => 'id,displayName,mail,userPrincipalName,jobTitle,department,officeLocation', ]); $profile = $graphResponse->json(); // $profile['jobTitle'] — должность // $profile['department'] — подразделение // $profile['officeLocation']— офис // Получение аватара $photoResponse = Http::withToken($msUser->token) ->get('https://graph.microsoft.com/v1.0/me/photo/$value'); if ($photoResponse->ok()) { Storage::disk('public')->put("avatars/{$user->id}.jpg", $photoResponse->body()); } 

SAML vs OAuth

Крупные корпоративные клиенты могут запросить поддержку SAML 2.0 вместо OAuth. Azure AD поддерживает оба протокола, но SAML требует отдельной библиотеки и другой архитектуры. По нашим оценкам, внедрение OAuth в 2–3 раза быстрее, чем SAML, и значительно проще в поддержке. Рекомендуем OAuth как основной протокол.

Что входит в работу

При заказе интеграции Azure AD на сайте под ключ вы получаете:

• Документацию по конфигурации Azure (redirect URI, permissions, secrets).
• Реализацию OAuth callback и связывание с учётными записями пользователей.
• Интеграцию MS Graph для получения дополнительных данных (аватар, должность, отдел).
• Валидацию tenant ID для multi-tenant сценариев.
• Тестирование с реальным тенантом — подтверждаем работоспособность.
• Передачу доступов и обучение вашей команды.

Сроки работ

Итого: 4–5 рабочих дней. Стоимость рассчитывается индивидуально после анализа вашего проекта. Закажите интеграцию Azure AD — мы реализуем её за 4-5 рабочих дней. Свяжитесь с нами для оценки вашего проекта — мы подберём оптимальное решение под ваш стек и бизнес-требования.