Azure B2C与AAD租户跨租户登录问题：B2B直连配置疑问及方案选择

一、Azure B2B直连的可行配置说明 #

首先明确：Azure B2C租户不支持直接用Azure B2B协作同步外部AAD用户到自己的用户池，因为B2C是面向客户身份管理的租户类型，和普通AAD的B2B协作机制不兼容。你之前试B2B直连没创建用户，核心问题就在这——B2C没法通过B2B邀请或自动同步把外部AAD用户导进来。

如果想靠类似B2B的模式实现登录，得用Azure AD B2C的自定义策略把外部AAD租户集成成身份提供商，其实就是IDP集成的进阶版，步骤大概是：

• 先在租户B（普通AAD）里注册一个应用，作为B2C的身份提供者客户端，重定向URI设成B2C的授权端点（格式大概是https://<你的B2C租户>.b2clogin.com/<你的B2C租户>.onmicrosoft.com/oauth2/authresp）
• 在B2C租户里创建自定义策略，把租户B加为OpenID Connect身份提供商，填好对应的客户端ID、租户ID、元数据地址这些参数
• 自定义策略里开用户创建逻辑，确保租户B的用户第一次登录时，会在B2C租户里生成对应的本地用户条目（存着外部IDP的用户标识）

这种方式既能用AAD的身份验证能力，又能在B2C里留用户记录，但配置比标准IDP集成麻烦不少。

二、当前IDP方案的优化建议 #

你现在用的标准IDP集成（把租户B作为AAD身份提供商加到B2C）其实是官方推的最简方案，流程觉得复杂的话，可以这么优化：

• 简化配置：用B2C门户的身份提供者向导，直接加“Azure Active Directory”类型的IDP，填租户B的租户ID、客户端ID（在租户B注册的应用ID）、客户端密钥就行，不用写自定义策略
• 统一体验：配置B2C的用户流，把租户B的IDP加到登录选项里，让用户能直接选租户B的账号登录
• 用户管理：默认第一次登录后，B2C会自动创建用户条目，你在B2C租户的“用户”列表里就能看到这些用户，身份源会标着对应的外部AAD租户

三、方案对比与选型建议 #

总结：如果只是要让租户B的用户登录B2C应用，标准IDP集成还是当前最佳选择，用官方向导就能简化配置流程；要是需要复杂的身份逻辑（比如自定义用户属性映射、多租户IDP管理），再考虑自定义策略的进阶方式。

内容的提问来源于stack exchange，提问作者pietro