自定义HRD策略返回AD objectId而非B2C objectId的相关问题

影子用户是否必须存在？ #

影子用户并非强制要求。内置用户流默认会创建影子用户，核心是把外部身份提供商（Azure AD）的用户映射到B2C本地用户池，方便统一管理用户属性、权限及多身份提供商关联；而自定义策略默认可以跳过这一步，直接返回外部IDP的身份声明（比如Azure AD的objectId）。

• 若业务需要统一身份管理（比如后续要扩展B2C本地用户属性、关联多个IDP），建议在自定义策略中添加创建影子用户的逻辑；
• 若仅需Azure AD认证，不需要B2C本地管理，可不用创建影子用户。

API调用401“无效令牌”问题 #

大概率是返回的令牌并非B2C颁发的有效令牌：

• 自定义策略若直接返回Azure AD的令牌，令牌的受众（aud字段）是Azure AD的应用ID，而非你的API在B2C中注册的ID，导致API判定令牌无效；
• 解决方式：
  1. 检查策略中的JwtIssuer技术配置，确保颁发者（iss字段）是你的B2C租户域名；
  2. 配置声明映射，将Azure AD的oid映射到B2C的objectId声明，确保最终颁发的令牌是B2C格式；
  3. 用https://jwt.ms解析令牌，确认iss和aud字段匹配API的要求。

内置用户流XML无细节问题 #

内置用户流的底层逻辑由微软封装，下载的XML仅暴露顶层子旅程引用，影子用户创建、声明映射等核心逻辑是隐藏的。若要复刻内置流的行为，需在自定义策略中手动添加：

• 调用AAD-UserWriteUsingAlternativeSecurityId技术配置文件，实现影子用户创建；
• 配置声明映射规则，将Azure AD的身份声明关联到B2C的本地用户声明。

令牌加密与用户流兼容问题 #

启用令牌加密后，无需全部替换为自定义策略，也不一定需要改造旧应用：

• 确保自定义策略与内置用户流使用相同的加密证书/配置，即可保证令牌验证兼容；
• 旧应用若使用内置用户流，只要加密配置未变更，无需改造；若自定义策略使用了新的加密证书，旧应用需更新验证令牌的公钥/证书；
• 单点登录（SSO）层面，只要两种流使用同一B2C租户域，用户可保持SSO状态，但需注意身份声明的一致性（比如都返回B2C objectId）。

内容的提问来源于stack exchange，提问作者USA