如何实现本地AD用户同步至Azure AD B2C并通过原生B2C登录页无缝获取Azure AD租户用户信息完成登录？

我之前帮客户处理过类似的需求，核心是通过Azure AD B2C的自定义策略+自定义UI来隐藏Azure AD身份提供者的跳转感，让用户完全在B2C原生风格页面完成登录。以下是具体的落地步骤：

一、先搞定基础的同步与身份源配置 #

首先按你已经了解的思路，先把本地AD通过AD Connect同步到常规Azure AD租户，确保这些用户能正常登录这个Azure AD。然后在你的B2C租户里，把这个常规Azure AD配置成身份提供者（Identity Provider），拿到客户端ID、租户ID这些必要的配置参数——这一步是基础，必须先完成。

二、修改B2C自定义策略，整合登录流程 #

默认的B2C用户旅程会把各个身份提供者做成单独的跳转按钮，我们要改策略让Azure AD的登录流程内嵌到B2C的登录页面里：

• 先下载B2C官方的基础自定义策略模板（比如SocialAndLocalAccounts模板），以此为基础修改。
• 找到策略里的<UserJourneys>节点，调整<OrchestrationSteps>：把Azure AD的认证步骤和本地账户登录步骤整合到同一个流程里。比如，可以让用户输入用户名后，系统自动判断该用户是否属于同步的Azure AD租户（通过域名识别，比如你的本地AD对应的Azure AD域名），然后自动触发对应的认证逻辑，而不是让用户手动点跳转按钮。

三、自定义登录UI，伪装成原生体验 #

• 用B2C的自定义页面功能，上传你自己写的HTML/CSS，让登录页面完全保持B2C原生的视觉风格。
• 加一段前端JS逻辑：当用户输入邮箱/用户名时，提取域名部分，判断是否是同步过来的Azure AD域名。如果是，就自动触发Azure AD的嵌入式认证流程，整个过程在B2C页面内完成，用户看不到跳转。

四、配置Azure AD的嵌入式登录支持 #

• 在Azure AD身份提供者的配置里，开启嵌入式登录（Embedded Sign-in），允许B2C页面通过iframe加载Azure AD的登录界面。同时要在Azure AD的CORS设置里添加B2C的域名，避免浏览器拦截iframe请求。
• 还可以用OAuth2的prompt=none参数实现静默认证：如果用户之前已经登录过Azure AD，就直接完成认证，不用再输入密码，体验更丝滑。

五、配置属性映射（可选但推荐） #

为了让B2C能识别这些同步过来的用户，在自定义策略里配置属性映射，把Azure AD里的用户属性（比如姓名、邮箱、用户ID）同步到B2C的用户目录里。这样用户第一次登录后，B2C会自动创建对应的用户记录，后续登录就能直接匹配，不用重复处理。

几个关键注意点 #

• 要确保B2C租户有访问Azure AD用户信息的权限，不然认证会失败。
• 测试域名判断逻辑的时候，要考虑用户输入错误域名的情况，做好异常处理。
• 注意Azure AD的安全设置，有些默认配置会禁止iframe登录，需要调整X-Frame-Options相关的设置。

按照这个方案配置完，用户在B2C登录页输入账号，系统自动后台处理Azure AD的认证，用户全程看到的都是B2C的原生页面，完全感知不到跳转，就像登录本地B2C用户一样。

内容的提问来源于stack exchange，提问作者ml123