Azure AD B2C自定义IDP下如何限制特定用户组登录注册？

一、限制Azure AD特定用户组登录（Azure AD作为自定义IDP） #

要实现仅允许Azure AD中特定组的用户通过Azure AD IDP登录B2C，必须使用自定义策略（用户流不支持此类自定义逻辑），步骤如下：

• 确认目标用户组：在Azure AD中找到需要允许的用户组，记录其Object ID。
• 配置自定义策略中的组检查逻辑：
  1. 在自定义策略的ClaimsProvider中，添加调用Microsoft Graph API的Technical Profile，用于获取当前登录用户所属的组ID列表。
  2. 创建ClaimsTransformation，将获取到的组ID列表与目标组ID进行比对。如果用户不在目标组中，抛出AccessDenied类的错误信息。
  3. 在用户登录的Orchestration Step中，插入该组检查的步骤，确保在完成Azure AD身份验证后立即执行验证，不通过则终止流程。

二、限制Facebook特定用户/群体登录（Facebook作为自定义IDP） #

Facebook本身没有原生的用户组管理机制，需通过以下两种方式实现限制：

方式1：基于预允许的用户ID列表验证 #

• 提前收集允许登录的Facebook用户user_id，存储到Azure AD B2C的用户属性中，或外部存储（如Azure SQL、Cosmos DB）。
• 在自定义策略中：
  1. 配置Facebook的Technical Profile，确保获取用户的user_id声明（需在Facebook开发者平台的应用权限中开启public_profile）。
  2. 添加一个自定义Technical Profile，调用外部API或直接查询存储，验证当前用户的user_id是否在允许列表内。
  3. 添加ClaimsTransformation，若验证不通过则抛出错误，阻止登录流程继续。

方式2：基于Facebook页面/应用的关联验证 #

如果需要限制为特定Facebook页面的粉丝或应用的授权用户：

• 在Facebook开发者平台配置应用时，请求pages_show_list或相关权限，用于获取用户的页面关注状态。
• 在自定义策略中调用Facebook Graph API，检查用户是否关注目标页面。
• 同样通过ClaimsTransformation判断结果，不满足条件则终止登录。

关键注意事项 #

• 所有限制逻辑必须通过自定义策略实现，用户流无法支持此类自定义验证步骤。
• 调用外部API或Graph API时，需确保B2C策略有相应的权限（如Microsoft Graph的Group.Read.All权限），并配置正确的身份验证方式（如Client Credentials）。

内容的提问来源于stack exchange，提问作者Nayan Sanjeeva Byakod