如何在多租户Azure应用注册中为新用户指定正确租户？

1. 让用户提前选择类型，切换认证端点 #

别直接用https://login.microsoftonline.com/common这个通用端点，在用户点击登录按钮前，加个简单的选择项（比如“内部员工”/“外部用户”）：

• 选内部用户的话，跳转到内部租户的专属端点：https://login.microsoftonline.com/{你的内部租户ID}
• 选外部用户的话，跳转到外部租户的专属端点：https://login.microsoftonline.com/{你的外部租户ID}
  新用户注册时会直接进入对应租户的流程，账号自动创建在该租户下。

2. 通过邮箱域名自动匹配租户 #

如果不想让用户手动选择，可以在登录前先收集用户邮箱：

• 内部用户用公司专属域名（比如@yourcorp.com），外部用户用其他域名
• 前端拿到邮箱后，后端校验域名归属，返回对应的租户ID
• 前端动态修改MSAL的认证端点，跳转到对应租户地址发起认证，新用户就会注册到指定租户

3. 给内外部租户做差异化配置 #

如果外部用户是客户群体，可以把外部租户设为Azure AD B2C，内部用普通的Entra ID租户：

• 内部用户走普通Entra ID认证流程，新用户自动加入内部租户
• 外部用户走B2C注册流程，直接在B2C租户创建账号
• 前端根据用户类型（或邮箱域名）切换MSAL的配置（不同的client ID、端点）

4. 注册后迁移账号（备选方案） #

如果必须用common端点，新用户注册后会默认进入应用的宿主租户，这时候可以通过后端处理：

• 监听用户首次登录事件，检查用户所在租户是否符合预期
• 如果不对，调用Graph API把用户邀请到目标租户，再删除原租户的账号
• 引导用户重新登录到目标租户

注意点 #

• 确保你的应用在两个租户中都完成了注册（可以是多租户应用覆盖两个，也可以分别注册单租户应用）
• 动态切换MSAL配置时，要清理之前的认证缓存，避免出现登录冲突

内容的提问来源于stack exchange，提问作者Agner Souza Bezerra