Co se děje při přihlášení
uživatel je přesměrován na Entra ID, ověří se (včetně vícefaktorového ověření, pokud ho firma vyžaduje) a aplikace dostane token s jeho identitou. Heslo aplikací nikdy neprojde.
Firemní aplikace nemá mít vlastní hesla. Uživatel se přihlašuje účtem, který už má, a aplikace se ptá Entra ID, kdo to je a co smí. Odchod zaměstnance se pak řeší v jednom místě — vypnutím účtu, ne hledáním po aplikacích.
Kdo se vůbec smí přihlásit
aplikace se nezveřejňuje celému tenantu. Přihlásit se smí jen ten, kdo je k ní přiřazený, a přiřazuje se členstvím ve skupině, ne po jednotlivcích.
Role a oprávnění
členství v bezpečnostních skupinách rozhoduje, co uživatel v aplikaci uvidí. Skupiny spravuje IT tam, kde je zvyklé; aplikace se jen ptá. Role se nikdy nenastavuje v aplikaci samotné.
Co si aplikace smí přečíst
oprávnění se drží co nejužší. Přístup k úložišti se uděluje na jedno konkrétní místo, ne na celý tenant; dokud ho administrátor nepovolí, aplikace nevidí nic.