Azure AD B2C多环境租户管理：开发资源应置于同目录吗？

背景 #

我正在构建一款使用Azure AD B2C实现消费者登录的应用。此前在Azure中构建应用时，我会使用单个常规Azure AD租户，并为每个环境（开发、测试、生产等）创建一个资源组。

我已按照官方指南创建了用于开发的Azure AD B2C租户，该指南要求为每个环境创建一个租户。但新的B2C租户在Azure门户中显示为一个新目录，意味着我同时创建了新目录。

问题 #

关于多B2C租户的通用最佳实践是什么？我是否应将其他开发资源放在与B2C租户相同的目录中？还是仅在需要配置B2C租户时才与该新目录交互？

最佳实践及建议 #

• 严格隔离各环境的B2C租户：为每个环境单独创建B2C租户是正确的做法，能完全隔离不同环境的用户数据、配置和策略，避免测试数据污染生产环境，降低变更带来的影响范围。
• 不要将应用资源部署在B2C租户目录中：B2C租户是专门用于身份管理的目录，不适合承载应用服务器、数据库、存储等常规Azure资源。建议沿用之前的模式：保留一个主Azure AD租户，在这个租户下为每个环境创建资源组，部署应用的所有非身份相关资源。
• 仅在配置B2C时切换到对应目录：日常开发和运维应用资源时，在主Azure AD租户上下文操作即可；只有需要调整B2C租户的身份策略、用户流、应用注册等配置时，再切换到对应的B2C租户目录操作。
• 统一管理跨租户权限：如果团队需要同时访问主租户资源和多个B2C租户，可在主租户中创建安全组，添加团队成员后，在各个B2C租户中为这个安全组分配必要的管理员权限，避免逐个添加用户的繁琐操作。

内容的提问来源于stack exchange，提问作者Tobias