azure-ad-b2c - Azure AD B2C 将声明添加到自定义策略中的 id_token

Question

我已经根据 Active Directory B2C custom policy starter pack 中的示例为社交和本地帐户创建了自定义策略用于社交和本地帐户。我已经启用了 Microsoft 和 Google 的登录并测试了两者都有效，我还启用了使用本地帐户登录。

当我 log in with google我得到以下声明

exp,nbf,ver,iss,sub,aud,acr,nonce,iat,auth_time,email,given_name,family_name,name,idp,at_hash

当我登录 custom Azure AD tenant声明集缺少“电子邮件”，但电子邮件列在“姓名”声明中

exp,nbf,ver,iss,sub,aud,acr,nonce,iat,auth_time,given_name,family_name, name,idp,at_hash

当我以本地帐户登录时，声明集缺少“电子邮件”，并且任何字段中都没有列出电子邮件。

exp,nbf,ver,iss,sub,aud,acr,nonce,iat,auth_time,given_name, family_name,name,at_hash

最后，当我查看 B2C 管理员中的用户列表时，这些都是不同的用户条目...即使电子邮件地址相同。所以我有 2 个问题，

1. 如何在 id_token 中获得一组一致的声明
2. 如何在注册时将所有这些帐户链接在一起(相同的 UPN)

我相信这些可能是相关的，这就是为什么我把它们放在一起问。您可能想查看这些策略，但我向您保证它们与入门包中的策略完全相同，我所做的只是更改租户名称并在信任框架扩展文件中添加了 google 和 azure。

Answer 1

对于 Azure AD 电子邮件声明，添加以下 <OutputClaim />到 Azure AD OpenID Connect 技术资料:

<OutputClaim ClaimTypeReferenceId="email" PartnerClaimType="unique_name" />

对于本地帐户电子邮件声明，添加以下 <OutputClaim />到 AAD-UserReadUsingObjectId技术简介:

<OutputClaim ClaimTypeReferenceId="email" PartnerClaimType="signInNames.emailAddress" />