Microsoft Entra ID
微软的云身份与访问管理服务，前身为Azure Active Directory，提供单点登录、多因素认证、OAuth 2.0授权等功能，是微软云服务生态中的核心身份认证平台
核心事实
时间轴 (近 90 天)
点击问题详情链接会自动以当前服务器和数据库上下文启动 SSMS，并通过 Microsoft Entra ID 完成认证，无需手动输入连接信息。
Entra ID中的租户是一个组织在Entra ID中的独立身份目录实例，拥有自己的用户、组、应用注册和安全策略，每个租户有唯一租户ID和默认域名（如contoso.onmicrosoft.com）。
Entra SSO是企业级单点登录，由客户企业的IT管理员在自己的Entra租户中配置企业应用，用户身份验证发生在客户租户内，应用信任的是该租户而非泛泛的微软账号。
微软身份平台允许将应用注册为多租户（multi-tenant），使任意Entra租户管理员均可同意并接入同一应用，无需为每个客户单独发布应用。
应用侧自建的域名路由与平台级租户发现可能不一致，因为用户可能用个人账号邮箱登录到企业租户外的身份，因此映射表应以验证过的域名与租户ID为准，而非仅凭邮箱字符串推断。
Microsoft Entra（原 Azure AD）提供基于身份的访问控制，是云端安全接入的标准实践。
IAM通常包含身份提供商（IdP）、单点登录（SSO）、多因素认证、目录服务以及授权策略引擎；常见商业方案有Okta、Microsoft Entra ID，开源方案有Keycloak。
MCP服务器作为OAuth保护资源，Entra ID作为授权服务器；未携带令牌的客户端会收到认证挑战并发现授权元数据；服务器必须验证签发者、受众、有效期和scope或角色；面向下游API的令牌不应被自动接受为访问本MCP服务器的令牌。
参考架构中，AI主机经Azure API Management连接到运行在Container Apps或Functions上的MCP服务器，Microsoft Entra ID提供身份，API Management负责验证令牌、施加速率限制并捕获追踪，服务器使用托管身份访问后端API，Azure Monitor与Application Insights记录延迟、失败和关联标识。
EMA 之所以能把授权收敛到 IdP，前提是企业已经用 IdP 统一了员工身份；应用接入 IdP 后，用户登录走 SAML 或 OpenID Connect 标准，由 IdP 颁发身份断言。
还有 19 条时间轴事件
全部知识事实 (20)
Microsoft Entra ID的前身为Azure Active Directory
70%已验证IDScan属于身份验证即服务（IDVaaS）赛道的企业
65%待验证Azure AD现已更名为Microsoft Entra ID
60%待验证点击问题详情链接会自动以当前服务器和数据库上下文启动 SSMS，并通过 Microsoft Entra ID 完成认证，无需手动输入连接信息。
50%待验证应用侧自建的域名路由与平台级租户发现可能不一致，因为用户可能用个人账号邮箱登录到企业租户外的身份，因此映射表应以验证过的域名与租户ID为准，而非仅凭邮箱字符串推断。
50%待验证Entra SSO是企业级单点登录，由客户企业的IT管理员在自己的Entra租户中配置企业应用，用户身份验证发生在客户租户内，应用信任的是该租户而非泛泛的微软账号。
50%待验证Entra ID中的租户是一个组织在Entra ID中的独立身份目录实例，拥有自己的用户、组、应用注册和安全策略，每个租户有唯一租户ID和默认域名（如contoso.onmicrosoft.com）。
50%待验证微软身份平台允许将应用注册为多租户（multi-tenant），使任意Entra租户管理员均可同意并接入同一应用，无需为每个客户单独发布应用。
50%待验证Microsoft Entra（原 Azure AD）提供基于身份的访问控制，是云端安全接入的标准实践。
50%待验证IAM通常包含身份提供商（IdP）、单点登录（SSO）、多因素认证、目录服务以及授权策略引擎；常见商业方案有Okta、Microsoft Entra ID，开源方案有Keycloak。
50%待验证MCP服务器作为OAuth保护资源，Entra ID作为授权服务器；未携带令牌的客户端会收到认证挑战并发现授权元数据；服务器必须验证签发者、受众、有效期和scope或角色；面向下游API的令牌不应被自动接受为访问本MCP服务器的令牌。
50%待验证参考架构中，AI主机经Azure API Management连接到运行在Container Apps或Functions上的MCP服务器，Microsoft Entra ID提供身份，API Management负责验证令牌、施加速率限制并捕获追踪，服务器使用托管身份访问后端API，Azure Monitor与Application Insights记录延迟、失败和关联标识。
50%待验证EMA 之所以能把授权收敛到 IdP，前提是企业已经用 IdP 统一了员工身份；应用接入 IdP 后，用户登录走 SAML 或 OpenID Connect 标准，由 IdP 颁发身份断言。
50%待验证使用 IQ MCP Server 需要 Microsoft Entra 工作或学校账户、主区域支持全部 Fabric 工作负载的租户，以及对至少一个报表或语义模型的访问权；内容不必放在 Fabric 或 Premium 容量上。
50%待验证Copilot Studio 提供三种认证选项：无认证、Microsoft 认证（通过 Entra ID 对接 Teams、Power Apps 和 Microsoft 365 Copilot 等渠道）、手动认证（支持 Entra ID 或任意 OAuth2 身份提供商）。
50%待验证Okta和Entra ID与RFC 7644的偏离主要体现在三个方面：操作语义（Okta偏好PATCH，Entra ID偏好PUT）、属性过滤（Entra ID可能发送RFC未强制要求的属性如manager，Okta可能省略某些标准属性）、错误处理（两个目录对端点错误码反应不同）。
50%待验证一个实用的做法是在SCIM端点中同时支持PATCH和PUT，并在PATCH处理中显式检查active属性的任何操作；对于Entra ID的DELETE请求，实现软删除逻辑（标记为非活跃）而非物理删除，可以避免重试风暴。
50%待验证当用户在Entra ID中被禁用或从供给范围中移除时，Entra ID可能发送active: false的PATCH，也可能直接停止发送请求，具体取决于配置是软删除还是硬删除；如果配置为硬删除，Entra ID可能发送DELETE请求。
50%待验证Entra ID的SCIM供给服务更倾向于使用PUT操作来替换整个资源，而不是PATCH；其请求体包含完整的用户表示，如果端点在PUT处理中只更新部分字段可能意外覆盖已有数据。
50%待验证如果SCIM端点未实现DELETE，Entra ID发送的DELETE请求会返回405，导致Entra ID重试并最终使该对象进入隔离状态。
50%