Azure AD B2C中如何利用自定义属性管理受邀用户权限分配？

方案一：用Microsoft Graph API直接管理自定义属性 #

• 单个用户手动设置：调用PATCH /users/{user-id}接口，请求体里指定自定义属性值，示例：

{
  "extension_{b2c-extensions-app-id-without-hyphens}_Role": "Editor"
}

记得把{b2c-extensions-app-id-without-hyphens}换成你的B2C扩展应用ID（要去掉所有连字符）。

• 批量用户设置：写个PowerShell或Python脚本，遍历所有受邀用户批量更新属性，适合用户量多的场景。

方案二：自定义用户流/策略实现角色分配入口 #

• 要是需要管理员或用户自己设置角色，可以修改用户流的注册/登录页面，加个下拉选择框列出可选角色，提交时自动把选中的值写入自定义属性。
• 用自定义策略的话，在用户旅程里加个角色选择步骤，通过技术配置文件把选中的角色值存到用户属性里，后续登录就能在ID令牌里拿到这个值。

方案三：用Azure AD B2C应用角色替代自定义属性 #

• 在B2C的应用注册里定义好应用角色，然后通过Graph API给受邀用户分配角色：调用POST /users/{user-id}/appRoleAssignments接口，指定对应的应用ID和角色ID。
• 登录时在用户流里添加appRoles声明，ID令牌里就会带上用户的角色信息，这种方式和Azure AD内部的角色管理逻辑一致，不用额外维护自定义属性。

内容的提问来源于stack exchange，提问作者Lev Kostychenko