Azure AD B2C 与企业 (Azure?) AD 帐户集成

Question

我们希望将 Azure AD B2C 用于我们的 Web 应用程序，以允许用户使用“本地”帐户/密码或使用他们的社交帐户（Facebook 等）登录。 https://docs.microsoft.com/azure/active-directory-b2c/active-directory-b2c-overview

但是，在此应用程序中，我们可能以组织为目标，因此我们还希望与公司现有的 Azure AD 公司帐户集成。这样用户就不必创建新帐户，并且可以使用他们现有的公司帐户。

事实证明，Azure AD B2C 中有一个（新）功能，允许您使用此处所述的自定义策略显式链接到外部 Azure AD 帐户：https://docs.microsoft.com/azure/active-directory-b2c/active-directory-b2c-setup-aad-custom

不幸的是，这只有在我们事先知道我们需要链接哪些外部公司并添加特定配置时才有效。它还会泄露有关谁在使用该应用程序的信息，因为公司名称在登录页面上被列为选项。

我还查看了 Azure AD B2B 功能，但我认为这也不合适。

我们真正希望 Azure AD B2C 提供对（公司）Microsoft 帐户的通用登录，该帐户可检测该电子邮件地址是否已在任何 Azure AD 系统中处理；如果是，它会将身份验证委托给该系统，但如果不是，它将回退到 Azure AD B2C 本地帐户。

这种通用登录已经适用于访问标准 Microsoft 应用程序，例如其门户。有谁知道这在 Azure AD B2C 中是否可行，或者有任何可能的时间表来确定何时成为可能？ 是否有任何替代系统可以提供类似的功能？

Answer 1

您指的是在 multi-tenant mode 中添加 Azure AD，作为 Azure AD B2C 的身份提供程序。

发件人：Multi-Tenant Azure AD Auth in Azure AD B2C with Custom Policies

为了支持多租户 Azure AD，您需要在自定义策略中为您的 ClaimsProvider 配置不同的值。

使用以下值，确保替换为 client_id 和 IdTokenAudience。

<Item Key="DiscoverMetadataByTokenIssuer">true</Item>
<Item Key="ValidTokenIssuerPrefixes">https://sts.windows.net/</Item>
<Item Key="authorization_endpoint">https://login.microsoftonline.com/common/oauth2/authorize</Item>
<Item Key="client_id">df5b2515-a8d2-4d91-ab4f-eac6e1e416c2</Item>
<Item Key="BearerTokenTransmissionMethod">AuthorizationHeader</Item>
<Item Key="scope">openid</Item>
<Item Key="UsePolicyInRedirectUri">false</Item>
<Item Key="HttpBinding">POST</Item>
<Item Key="response_types">id_token</Item>
<Item Key="IdTokenAudience">df5b2515-a8d2-4d91-ab4f-eac6e1e416c2</Item>

注意：此功能尚未正式预览，因此请谨慎使用。继续关注"Sign in by using Azure AD accounts" 官方文档，以了解其何时得到完整记录和支持。

编辑：确保您在应用程序的设置中翻转Multi-tenanted 开关，否则您将收到以下错误：

AADSTS70001：在目录（我们公司的主域）中找不到标识符为“(guid)”的应用程序

Answer 2

Azure AD B2C 不正式支持多租户 Azure AD 身份提供程序。您应该为该功能投票here，以便它可以帮助确定它的优先级，以便在该功能处于预览状态时与您联系。

如果您使用的 Azure AD 租户数量有限，则有一种潜在的解决方法。您可以在您的应用程序中构建一个页面，用户在其中输入电子邮件地址。根据邮箱地址，调用 Azure AD B2C 时可以使用 domain_hint 参数，将其直接重定向到正确的登录页面。