Azure AD B2C 与企业(Azure？)AD 帐户集成

Question

我们希望将 Azure AD B2C 用于我们的 Web 应用程序，以允许用户使用“本地”帐户/密码或使用其社交帐户(Facebook 等)登录。 https://learn.microsoft.com/azure/active-directory-b2c/active-directory-b2c-overview

但是，在此应用程序中，我们可能会针对组织，因此我们还希望与公司现有的 Azure AD 企业帐户集成。这样，用户无需创建新帐户，就可以使用现有的公司帐户。

事实证明，Azure AD B2C 中有一个(新)功能，允许您使用自定义策略显式链接到外部 Azure AD 帐户，如下所述:https://learn.microsoft.com/azure/active-directory-b2c/active-directory-b2c-setup-aad-custom

不幸的是，只有当我们提前知道需要链接哪些外部公司并添加到特定配置中时，这才有效。它还会泄露有关谁在使用该应用程序的信息，因为公司名称会作为登录页面上的选项列出。

我还研究了 Azure AD B2B 功能，但我认为这也不合适。

我们真正希望 Azure AD B2C 能够提供(公司)Microsoft 帐户的通用登录功能，该帐户可检测该电子邮件地址是否已在任何 Azure AD 系统中得到处理；如果是，则会将身份验证委托(delegate)给该系统，但如果不是，它将回退到 Azure AD B2C 本地帐户。

此通用登录名已可用于访问标准 Microsoft 应用程序，例如其门户。有谁知道这在 Azure AD B2C 中是否可行，或者是否有任何可能的时间表？是否有任何替代系统可以提供类似的功能？

Answer 1

您所指的是在 multi-tenant mode 中拥有 Azure AD ，作为身份提供商添加到 Azure AD B2C。

来自:Multi-Tenant Azure AD Auth in Azure AD B2C with Custom Policies

为了支持 Multi-Tenancy Azure AD，您需要在自定义策略中使用不同的值配置 ClaimsProvider。

使用下面的值，确保替换为 client_id 和 IdTokenAudience。

<Item Key="DiscoverMetadataByTokenIssuer">true</Item>
<Item Key="ValidTokenIssuerPrefixes">https://sts.windows.net/</Item>
<Item Key="authorization_endpoint">https://login.microsoftonline.com/common/oauth2/authorize</Item>
<Item Key="client_id">df5b2515-a8d2-4d91-ab4f-eac6e1e416c2</Item>
<Item Key="BearerTokenTransmissionMethod">AuthorizationHeader</Item>
<Item Key="scope">openid</Item>
<Item Key="UsePolicyInRedirectUri">false</Item>
<Item Key="HttpBinding">POST</Item>
<Item Key="response_types">id_token</Item>
<Item Key="IdTokenAudience">df5b2515-a8d2-4d91-ab4f-eac6e1e416c2</Item>

注意:此功能尚未正式预览，因此请谨慎使用。持续关注官方"Sign in by using Azure AD accounts"文档以查看何时对此进行了完整记录和支持。

编辑:确保打开应用设置中的 Multi-Tenancy 开关，否则您将收到以下错误:

AADSTS70001: Application with identifier '(guid)' was not found in the directory (our company's primary domain)