azure - 与另一个 Azure AD B2C 租户联合时映射声明

Question

我已关注Set up sign-up and sign-in with an Azure AD B2C account from another Azure AD B2C tenant使用用户流策略类型的文章。

一切都按预期工作，直到我尝试自定义Configure Azure AD B2C as an identity provider中的身份提供者声明映射。部分。

我正在尝试将自定义用户属性映射到用户 ID 声明，如果我将其映射到不同的声明(例如名字。

例如，我在 Fabrikam B2C 租户中有一个名为 Clock Number 的自定义用户属性，当我运行登录/注册用户流程时，sub 声明是用户的 ObjectID，我可以在 token 中看到自定义属性。

在 Contoso B2C 租户中，我将 extension_ClockNumber 映射到 Given Name 并运行登录/注册用户流程，时钟编号已正确映射到 given_name 但是，我不确定映射到 sub 声明的值是什么 - 它不是上一个示例中用户的 ObjectID。

当我将extension_ClockNumber映射到用户ID并运行用户流程时，它并没有像映射到Given Name那样映射，我会预期 extension_ClockNumber 的值出现在 sub 声明中。

Answer 1

对于将来看到这一点的任何人，我不再尝试映射自定义属性。

当从一个 Azure AD B2C 帐户从另一个 Azure AD B2C 帐户登录时，“子”声明包含来自根的用户对象 ID，例如康托索。

这意味着我必须寻找联合身份来检索 IssuerAssignedId，它将是其他租户中用户的对象 ID，例如法布里卡姆。这可以通过以下方式实现:

获取 https://graph.microsoft.com/v1.0/users?$select=id,displayName,identities&$filter=id eq '6fa2f184-e0cb-456d-9686-fffb2ef71441'

此 article 介绍了 oid 有效负载 cliam:

If a single user exists in multiple tenants, the user will contain adifferent object ID in each tenant - they are considered differentaccounts, even though the user logs into each account with the samecredentials.