Azure AD多租户认证：特定租户白名单方案可行性与最佳实践咨询

一、原方案是否可行？ #

你的方案具备可行性，但存在一些需要注意的细节：

• 单租户模式的Azure AD B2C租户支持邀请外部用户，受邀用户会成为B2C租户的来宾用户，可通过B2C认证访问你的SPA应用。
• 通过自定义注册策略限制仅主租户用户自行注册到B2C租户是可以实现的：在自定义策略中配置主租户Azure AD为唯一的身份提供者，主租户用户登录时会自动将身份信息同步到B2C租户的用户池中，完成注册流程。
• 需注意：主租户用户在B2C租户中创建的是独立的用户对象，后续身份验证由B2C租户处理，和主租户的用户管理是分离的，比如主租户用户权限变更后，需同步更新B2C中的对应用户配置。

二、是否为最优方案？ #

原方案并非最优，核心问题在于存在冗余环节，增加了用户操作和管理成本：
主租户用户原本可以直接通过自身Azure AD账号认证访问应用，无需额外注册到B2C租户，原方案多了一层用户同步步骤，既让用户多了一次操作，也增加了后续用户生命周期管理的复杂度（比如离职用户需同时在主租户和B2C租户中处理）。

更优方案推荐 #

根据你的需求，有两种更合适的方案：

1. 直接使用主租户Azure AD（推荐，适合需求简单场景）

• 主租户用户直接用自身Azure AD账号认证访问SPA，无需任何额外操作。
• 在主租户的Azure AD门户中开启外部协作设置，允许邀请外部用户作为来宾加入主租户，外部用户受邀后即可通过Azure AD认证访问应用。
• SPA应用直接配置主租户Azure AD为身份提供者，采用PKCE流程完成OAuth2/OpenID Connect认证，流程更简洁，管理成本更低。

2. 主租户 + B2C租户联合（适合需复杂外部用户流程场景）

如果需要支持外部用户自助注册（而非仅邀请），可以采用这种模式：

• 主租户用户直接通过主租户Azure AD认证访问应用，无需经过B2C。
• 配置B2C租户信任主租户Azure AD，同时在B2C中设置外部用户的自助注册/登录策略。
• 外部用户可通过B2C完成注册/登录，主租户用户则直接用自身账号登录，兼顾了两种用户的需求，且无需主租户用户额外注册到B2C。

三、原方案的注意事项（若坚持使用） #

• 需同步主租户与B2C租户的用户生命周期，比如主租户用户离职时，要及时删除B2C租户中的对应用户，避免权限泄露。
• SPA应用的B2C认证需严格采用PKCE流程，避免安全风险。

内容的提问来源于stack exchange，提问作者Neutrino