如何配置Azure B2C使外部IdP认证用户可访问企业应用？

1. 启用B2C自动账户创建（无需手动操作） #

这是解决问题的核心方案，B2C支持外部IdP用户登录时自动生成账户：

• 用户流配置：创建或编辑用户流时，找到「用户属性」设置，勾选「允许外部IdP用户自动创建账户」。内部员工通过组织AD认证后，B2C会自动生成关联的用户对象，后续登录直接匹配身份，不用手动干预。
• 自定义策略配置：在<RelyingParty>节点下添加以下代码启用自动创建：

  <UserJourneyBehaviors>
    <Provisioning Enabled="true" />
    <AutoProvisionUser Enabled="true" />
  </UserJourneyBehaviors>
  

2. 修正企业应用的Entity ID以支持多租户 #

如果必须走多租户路线，先把应用ID URI改成符合要求的格式：

1. 进入企业应用关联的「应用注册」，在「概述」里将「应用ID URI」修改为https://<你的B2C租户>.onmicrosoft.com/<应用ID或名称>，比如https://contoso.onmicrosoft.com/erp-app。
2. 更新企业应用SSO设置里的Entity ID为新URI，同时同步修改组织AD IdP配置中的受众（Audience）值。
3. 重新开启多租户设置，此时URI符合要求，不会再报错。

3. 排查并修正认证配置错误 #

先定位登录失败的具体原因，再针对性调整：

• 开启B2C的日志（「监控」→「日志」），查看失败详情，常见问题包括SAML断言受众不匹配、用户属性传递缺失。
• 确保企业应用的SSO登录URL指向B2C的用户流终结点，比如https://contoso.b2clogin.com/contoso.onmicrosoft.com/B2C_1_SignIn/signin/saml。
• 确认组织AD作为外部IdP已正确添加到B2C的用户流中，员工登录时能选择该IdP选项。

4. 自动化批量创建用户（备选方案） #

如果自动创建不符合需求，用Graph API批量同步组织AD用户到B2C：

• 调用Microsoft Graph的POST /users接口，通过identities字段关联组织AD用户身份，示例请求：

  POST https://graph.microsoft.com/v1.0/users
  Content-Type: application/json
  {
    "accountEnabled": true,
    "displayName": "John Doe",
    "mailNickname": "johndoe",
    "userPrincipalName": "john.doe@contoso.onmicrosoft.com",
    "identities": [
      {
        "signInType": "federated",
        "issuer": "https://login.microsoftonline.com/你的组织AD租户ID/v2.0",
        "issuerAssignedId": "john.doe@你的组织域名.com"
      }
    ]
  }
  

• 可以搭配Azure Functions或Power Automate定期执行同步，完全替代手动操作。

内容的提问来源于stack exchange，提问作者Gavin Stein