使用Microsoft Graph邀请API在Azure B2C创建Office 365用户后无法登录

问题根源 #

通过Graph API邀请外部Azure AD用户时，默认流程仅完成了用户邀请和账户激活，但未将用户与B2C配置的外部Azure AD身份提供者关联，导致用户的signInIssuerId为空，B2C标准登录流程无法识别该账户的身份来源，从而抛出"未找到账户"错误。

可行解决方案 #

1. 邀请后通过Graph API补全用户身份标识 #

用户接受邀请后，调用Graph API的PATCH /users/{userId}接口，为用户添加关联外部Azure AD的身份信息：

{
  "identities": [
    {
      "signInType": "federated",
      "issuer": "https://login.microsoftonline.com/{外部Azure AD租户ID}/v2.0",
      "issuerAssignedId": "{外部AD中用户的UPN}"
    }
  ]
}

执行该操作后，用户的signInIssuerId会被自动填充，B2C标准登录流程即可识别该账户的外部身份来源。

2. 直接创建关联外部身份的用户（跳过单独邀请步骤） #

无需单独调用邀请API，直接通过POST /users接口创建外部用户，同时指定身份关联信息并触发邀请邮件：

{
  "accountEnabled": true,
  "displayName": "外部用户姓名",
  "mailNickname": "externaluser",
  "userPrincipalName": "{用户UPN}@{你的B2C域名}.onmicrosoft.com",
  "identities": [
    {
      "signInType": "federated",
      "issuer": "https://login.microsoftonline.com/{外部Azure AD租户ID}/v2.0",
      "issuerAssignedId": "{外部AD中用户的UPN}"
    }
  ],
  "invitationProfile": {
    "emailAddress": "{用户邮箱}",
    "sendInvitationMessage": true,
    "invitedUserMessageInfo": {
      "messageLanguage": "zh-CN",
      "customizedMessageBody": "请点击链接完成账户关联：{invitationLink}"
    }
  }
}

这种方式创建的用户从一开始就与外部Azure AD身份提供者绑定，用户接受邀请后可直接使用对应登录流程登录。

3. 通过自定义策略（IEF）自动同步身份标识 #

若上述API方式无法满足业务需求，可通过B2C自定义策略实现：在用户首次登录（接受邀请后）时，自动将外部Azure AD的身份信息同步到B2C用户对象的identities属性中。具体可通过自定义策略中的声明转换（Claims Transformation）和Graph API调用步骤完成，将用户的issuer和issuerAssignedId写入用户账户。

注意事项 #

• 确保调用Graph API的应用拥有足够权限，如User.ReadWrite.All或Directory.AccessAsUser.All。
• 外部Azure AD必须已在B2C租户中配置为身份提供者，否则身份关联操作无效。
• 填写issuer和issuerAssignedId时，需与外部Azure AD中的实际信息完全匹配，避免因参数错误导致关联失败。

内容的提问来源于stack exchange，提问作者Umar Malik