如何从Azure AD向Azure AD B2C传递自定义声明并正确映射？

1. 先确保Azure AD能返回目标额外声明 #

• 登录Azure AD租户的门户，找到对接B2C的企业应用
• 进入「令牌配置」，添加你需要的额外声明（比如部门、职务），必须勾选“将此声明包括在id_token和access_token中”
• 配置完成后，可通过授权码流获取令牌，用jwt.ms解码验证这些声明是否存在

2. 在B2C用户旅程中配置声明映射 #

• 登录Azure AD B2C门户，打开正在使用的用户旅程（比如SignUpSignIn）
• 找到编排步骤里「使用Azure AD登录」的步骤，点击编辑
• 进入「声明映射」页面，在「输入声明」区域点击「添加新项」：
  • 「名称」填写B2C内部识别该声明的标识（比如extension_Department）
  • 「身份提供商声明」选择Azure AD返回的对应声明名称（比如department，注意大小写完全匹配）
• 保存输入声明后，回到用户旅程编排步骤，找到最后一步「发送声明给应用程序」并编辑
• 点击「添加新项」，选择刚才配置的内部声明名，设置「应用程序声明」为你希望应用收到的声明名称（比如department）
• 保存整个用户旅程配置

3. 验证与问题排查 #

测试登录流程，解码应用获取的令牌，检查额外声明是否存在。如果仍未收到，排查以下几点：

• 确认Azure AD返回的令牌中确实包含目标额外声明
• 确认B2C输入声明里的「身份提供商声明」与Azure AD返回的名称完全一致
• 确认「发送声明给应用程序」步骤已将内部声明映射到应用所需的声明名

内容的提问来源于stack exchange，提问作者Aaron