基于单个AzureAD租户的内外用户认证流架构咨询

1. 是否可利用AzureAD B2C并将主租户作为其身份提供商？ #

完全可以。Azure AD B2C支持将标准Azure AD租户配置为企业身份提供商（IdP），具体实现逻辑如下：

• 在B2C租户内创建对应应用注册，建立与主Azure AD租户的信任关系，配置好所需的证书或客户端密钥。
• 设计B2C用户流时，把主Azure AD作为可选登录项加入，内部用户能通过主租户的Entra ID完成SSO认证，外部用户则走B2C托管的自定义认证页面。
• 还可以设置域名自动路由：若用户输入内部关联邮箱域名，系统自动跳转至主租户SSO；否则留在B2C的自定义流中完成认证。

2. 是否应为外部用户单独使用另一租户？ #

需结合用户类型和管理需求判断：

• 若外部用户以企业身份（其他Azure AD租户用户）为主：可直接用主租户的Azure AD B2B协作管理，无需单独租户。外部用户会以「来宾用户」身份进入主租户，和内部用户在Entra ID中统一管理，权限层级也能基于现有架构配置。
• 若外部用户包含大量个人用户，或需要高度自定义的认证/自助管理流程：单独使用Azure AD B2C租户更合适。这种方式能实现权限完全隔离，避免外部操作影响主租户内部管理，同时B2C的自定义用户流和自助门户天然支持外部管理员增删用户的需求。
• 从长期管理成本看，数千级规模的外部用户用独立租户，能避免主租户的用户列表和权限体系过于臃肿，隔离性与灵活性优势更明显。

3. 能否合并内部与外部用户的认证流？ #

可以合并，主流实现思路有两种：

• 以Azure AD B2C为统一入口：把B2C作为应用的唯一认证入口，在B2C用户流中同时配置主Azure AD（内部用户）和B2C本地账户/其他认证方式（外部用户）。用户登录时可自主选择方式，或系统根据邮箱域名自动匹配对应认证流，实现无缝统一的登录体验。
• 应用层路由+多认证源：在应用端做前置判断——用户输入邮箱后，先检测域名是否属于内部关联域名：是则跳转主租户Entra ID SSO；否则跳转至B2C自定义认证流。这种方式无需修改核心认证架构，灵活度高，适合想保留现有内部SSO流程的场景。

内容的提问来源于stack exchange，提问作者Harry Lincoln