关于B2C租户中User.ReadWrite.All权限对租户所有者影响的咨询

1. 核心风险澄清：租户所有者不会受该权限影响 #

在Azure AD B2C体系中，租户全局管理员/所有者账号属于Azure AD的核心管理范畴，和B2C用户池内的普通用户完全隔离。即便给应用授予User.ReadWrite.All权限，也无法删除、重置租户所有者的密码，或修改这类账号的核心属性——该权限仅对B2C用户池中的普通用户生效，触及不到租户级别的管理账号。另外，订阅所有者属于Azure订阅层面的角色，B2C的Graph权限无法跨层级操作这类对象，你担心的“删除订阅所有者”场景不会发生。

2. 最小权限替代方案：别用全量权限满足局部需求 #

开发者的需求只是修改B2C用户的自定义扩展属性，完全没必要授予User.ReadWrite.All这种高权限，推荐两种更安全的实现方式：

• 用委托权限替代应用权限：让应用通过某个B2C管理员账号的上下文调用Graph API，权限范围受限于该账号的操作权限，而非应用拥有全量用户的读写权限。
• 限制应用权限的作用范围：如果必须使用应用权限，可在Azure AD中设置权限范围限制，指定应用仅能访问特定用户组内的B2C用户。即便有User.ReadWrite.All权限，也只能操作组内用户，不会触及全量用户，更不会影响租户管理员。

3. 安全流程的保障措施 #

• 严格执行代码审核：确认应用代码仅包含自定义扩展属性的读写逻辑，无额外删除、批量操作等风险代码。
• 开启API调用监控：在Azure AD B2C的日志中监控该应用的Graph调用记录，一旦出现访问租户管理员账号、批量删除等异常操作，立即撤销权限。
• 配置备用租户所有者账号：至少设置2个及以上的租户所有者，避免单个账号故障导致租户失控。

内容的提问来源于stack exchange，提问作者Bad_Syntax