azure - 有没有办法限制 AD B2C 中登录用户流量的数量？

Question

编辑

不重复:另一个问题是关于注册，这是关于登录。更重要的是:这个问题是关于电子邮件验证的，这个问题是关于配额/限制的。这些是中间件策略的不同要素。尽管后果可能相似，但问题本身和解决方案是不同的。请删除重复的标志

<小时/>

如果恶意用户针对您的应用程序/网站(使用 AD B2C)编写登录/注销脚本，可能会在合理的短期内导致数百万次登录。

因为您将根据登录次数付费(< 50 000 次免费，然后付费)，这将不是一个愉快的时光。

问题

有什么办法可以避免上述情况的发生吗？ (限制付款不是一种选择，这种情况下，您的网站在受到攻击后将无法提供登录用户流程)

Answer 1

Azure AD B2C 具有针对您所描述的恶意攻击的缓解技术，并且 B2C 会自动锁定用户一段时间。

更多信息:https://learn.microsoft.com/en-us/azure/active-directory-b2c/active-directory-b2c-reference-threat-management#password-attacks

目前，通过智能锁定(如上面的链接所述)，管理员无法控制尝试次数。但如果您希望能够对其进行配置，甚至采取操作(例如 MFA)，您可以使用自定义策略来实现:https://learn.microsoft.com/en-us/azure/active-directory-b2c/active-directory-b2c-get-started-custom

GitHub 上的 Azure AD B2C 社区有一个示例，可在 6 次登录失败后锁定用户。 https://github.com/azure-ad-b2c/samples/tree/master/policies/lockout