将Azure B2C租户设为Azure AD身份提供商遇错误，求解决方案

是否支持将Azure B2C作为Azure AD的身份提供商？ #

是，Azure AD外部标识支持把Azure B2C配置为SAML/WS-Fed类型的身份提供商，但需要确保B2C侧的企业应用配置正确，能对外输出符合要求的SAML断言。

无自定义域名时的错误解决办法 #

你碰到的错误根源是：默认的b2cdemotraining.onmicrosoft.com是微软托管域名，你没有权限修改它的DNS记录来添加要求的DirectFedAuthUrl TXT记录，导致Azure AD无法验证域名与被动登录URI的匹配性。以下是可行的解决路径：

方案一：用B2C自定义策略生成合规的SAML元数据 #

默认B2C企业应用的元数据可能不满足Azure AD的域名匹配要求，你可以通过自定义策略来生成包含正确端点的SAML元数据：

• 在B2C租户中搭建自定义策略基础框架
• 添加SAML身份提供商的技术配置，明确指定与调整后URI匹配的登录、回复端点
• 发布自定义策略后，使用该策略的元数据URL配置Azure AD外部标识

方案二：临时跳过域名验证（仅测试环境） #

部分Azure AD界面版本在出现域名验证错误时，会提供“继续使用未验证域名”的选项。这个方法仅适合测试，生产环境绝对不能用，会引入安全风险。

方案三：给B2C添加自定义域名（生产环境推荐） #

这是最合规的长期解决方案：

1. 在Azure B2C租户中添加并验证一个你拥有控制权的自定义域名（比如yourbiz.com）
2. 将B2C的登录页面、SAML元数据切换到这个自定义域名
3. 在该自定义域名的DNS管理后台，添加TXT记录：DirectFedAuthUrl=https://login.microsoftonline.com/[你的B2C租户ID]/saml2
4. 回到Azure AD外部标识配置，用这个已验证的自定义域名添加身份提供商，此时域名验证会自动通过

额外注意点 #

• 务必确保B2C企业应用的回复URL指向Azure AD提供的SAML断言消费者URL（可在Azure AD外部标识配置页找到）
• 在B2C侧配置正确的声明映射，保证Azure AD能获取到必要的用户属性（如邮箱、姓名等）

内容的提问来源于stack exchange，提问作者Haitham Shaddad