通过Graph API创建的AzureB2C用户每次登录需重新注册MFA

云上老周

2026-7-3

问题分析与解决方案

通过Graph API创建的Azure B2C用户完成MFA（TOTP）注册后，每次登录仍需重新注册，审计日志显示Microsoft.Online.Workflows.ValidationException异常，而门户创建的同配置用户无此问题，核心原因是Graph API创建用户时缺少部分B2C用户必需的属性，导致MFA服务更新用户信息失败。

关键修复点

1. 补充`mailNickname`属性

Azure B2C门户创建用户时会自动生成mailNickname，但Graph API创建时若未显式指定，会导致后续MFA方法保存时的验证异常。需在用户请求体中添加该属性，建议使用邮箱前缀作为值：

2. 显式设置`accountEnabled`属性

虽然默认值为true，显式声明可避免潜在的默认值逻辑差异问题。

3. 确保`userPrincipalName`格式正确

若未指定，Graph API会自动生成，但显式设置为符合B2C格式的值（如{邮箱前缀}@{your-b2c-domain}.onmicrosoft.com）可避免属性格式冲突。

修改后的代码示例

var requestBody = new User
{
    DisplayName = orgUser.Displayname,
    GivenName = orgUser.FirstName,
    Surname = orgUser.Surname,
    // 补充mailNickname
    MailNickname = user.Email.Split('@')[0],
    // 显式启用账户
    AccountEnabled = true,
    // 设置符合格式的用户主体名
    UserPrincipalName = $"{user.Email.Split('@')[0]}@{Globals.AzureDomainName}",

    Identities =
    [
        new ObjectIdentity
        {
            SignInType = "emailAddress",
            Issuer = Globals.AzureDomainName,
            IssuerAssignedId = user.Email,
        },
    ],

    PasswordProfile = new PasswordProfile
    {
        Password = password,
        ForceChangePasswordNextSignIn = false,
    },
    PasswordPolicies = "DisablePasswordExpiration,DisableStrongPassword",
};

var result = await _graphClient.Users.PostAsync(requestBody);