Azure B2C修改用户UPN遇未验证域错误，寻求替代方案

核心结论 #

不存在--force或类似参数能绕过UPN域名验证规则——Azure AD/B2C要求用户UPN的后缀必须是租户已验证通过的域名（包括默认的tenant.onmicrosoft.com域），这是硬性规则，无法强制跳过。

替代方案 #

方案1：使用非UPN属性存储新邮件域名 #

如果业务不需要用自定义域名的UPN作为登录凭据（比如用户用邮箱、用户名或社交账号登录），可以保留UPN为租户默认的.onmicrosoft.com后缀，将新域名的邮箱地址存储到用户的mail属性或自定义扩展属性中：

# 示例：更新mail属性，保留UPN不变
Set-MsolUser -UserPrincipalName $oldUPN -EmailAddress $newUPN
# 或用Microsoft Graph PowerShell
Update-MgUser -UserId $oldUPN -Mail $newUPN

这种方式既满足记录新邮件域名的需求，又不需要验证自定义域名，完全适配自助注册用户的场景。

方案2：自动化验证自定义域名（若必须用其作为UPN后缀） #

如果业务逻辑要求UPN后缀必须是新的自定义域名，其实可以通过PowerShell自动化完成域名验证，仅需执行一次，后续所有用户都可使用该域名作为UPN后缀：

# 1. 添加新域名
New-MsolDomain -Name "tsomenewcompany.org" -Authentication Managed
# 2. 获取DNS验证记录
Get-MsolDomainVerificationDns -DomainName "tsomenewcompany.org" -Mode DnsTxtRecord
# 3. 将上述返回的TXT记录添加到域名的DNS解析中
# 4. 完成验证
Confirm-MsolDomain -DomainName "tsomenewcompany.org"

验证完成后，即可正常执行Set-MsolUserPrincipalName命令修改UPN。

优化你的PowerShell代码 #

你当前的代码存在重复连接服务的冗余问题，简化后的版本如下：

$username = "admin@tenant.onmicrosoft.com"
$password = ConvertTo-SecureString "sEcReT" -AsPlainText -Force
$psCred = New-Object System.Management.Automation.PSCredential ($username, $password)
$oldUPN = "user@someoldcompany.com"
$newUPN = "user@tsomenewcompany.org"
$tenant = "1234567-1a75-438f-8f2c-1234567"

# 只需连接一次Msol服务（Azure AD PowerShell模块）
Connect-MSolService -Credential $psCred

# 若需使用AzureAD模块操作，再单独连接
# Connect-AzureAD -TenantId $tenant -Credential $psCred

# 修改UPN（需域名已验证）
Set-MsolUserPrincipalName -UserPrincipalName $oldUPN -NewUserPrincipalName $newUPN

内容的提问来源于stack exchange，提问作者Tobi