Azure AD B2C多租户登录配置问题：跨租户账号无法登录

核心问题分析 #

你遇到的错误说明当前配置的Azure AD身份提供者仅允许当前B2C租户所属的Default Directory内的用户登录，未开启多租户访问权限，导致其他租户的Azure AD账号无法通过验证。

具体修复步骤 #

1. 检查Azure AD身份提供者的租户配置 #

• 登录Azure门户，进入你的AD B2C租户，找到「身份提供者」中的Azure AD配置项
• 确认租户类型设置为多租户，而非「单租户」或「仅我的组织」
• 若之前选了单租户，修改为多租户后保存

2. 验证应用注册的权限与受众 #

• 进入为B2C配置的跨租户Azure AD应用注册页面
• 在「概述」页，确保支持的账户类型设置为「任何组织目录中的账户（任何Azure AD目录 - 多租户）」
• 检查「API权限」，确认已添加User.Read（委托权限）并完成管理员同意

3. 修正自定义策略XML中的配置 #

针对你的自定义XML文件，重点检查以下配置：

• ClaimsProvider节点下的Domain值需设为common（多租户标识，而非具体租户ID）：

  <Domain>common</Domain>
  

• TechnicalProfile的Metadata节点中，确认tenantId参数值为common：

  <Item Key="tenantId">common</Item>
  

• 确保ValidIssuerPrefixes包含多租户前缀，或设置为允许所有租户：

  <Item Key="ValidIssuerPrefixes">https://sts.windows.net/</Item>
  

4. 测试跨租户登录 #

完成配置后重新发布自定义策略，使用其他租户的Azure AD账号测试：

• 确保登录时选择对应租户的账号，而非B2C租户内的账号
• 若仍报错，检查应用注册的「重定向URI」是否与B2C策略中的配置完全一致

额外排查点 #

• 确认其他租户的管理员未禁用外部用户访问权限
• 检查B2C租户的用户流/自定义策略是否允许外部Azure AD用户注册或登录

内容的提问来源于stack exchange，提问作者Micah Armantrout