LDAP Active Directory同步的“云原生”替代品吗？

问题描述

如果您今天要构建企业SaaS应用程序，从Azure AD部署中获取用户，电子邮件和组列表的首选协议/端点是什么？

从历史上看，这是通过与Active Directory域控制器的LDAP连接完成的，我发现Azure提供了LDAPS服务（Azure AD DS）。

ADFS十分普及，它只是一个与SAML兼容的IdP，但它似乎没有提供用于列出用户目录的API。

Microsoft Graph API似乎能够提供至少部分此类信息，但是它似乎是相当新的且非常广泛。还有一种叫做SCIM的东西似乎得到了更广泛的支持，但它似乎在企业云应用程序上也不受欢迎。

解决方法

我的研究表明，解决此问题的正确方法是在产品上实现SCIM 2.0 API。

该方法的主要烦人之处在于SCIM 2.0是由目录提供程序触发的协议（即，当需要创建或更新用户而不是SaaS时，SaaS应用将收到来自Azure AD的API调用。应用程序联系目录端点以在需要时获取信息。

这会引起一些烦恼，例如在应用程序过程中更新用户信息时潜在的竞争条件，或者无法在方便的时间（例如每晚）触发对目录的更新。调试/测试也存在更多问题。