如何让Azure B2C自定义策略访问VPN专属的AKS部署端点

方案1：Azure Private Link + 虚拟网络集成（需B2C Premium SKU） #

• 将你的Spring Boot服务暴露为Azure Private Endpoint，限定仅允许所在VNet内部访问。
• 升级Azure B2C到Premium P2 SKU（仅该SKU支持虚拟网络集成），在B2C租户的「网络」设置中开启虚拟网络集成，将其接入AKS所在的VNet（或对等互联的VNet）。
• 修改B2C自定义策略中RestfulProvider的端点配置为私有端点的内部域名。
• 注意：集成后需确保公网用户仍能正常访问B2C认证页面，需配置对应公共IP或NAT规则。

方案2：公网中转代理（带严格访问控制） #

• 部署一个公网代理服务（比如Azure App Service或Azure Functions），配置VNet集成使其能访问AKS所在的VPN网络。
• 在代理服务的WAF或IAM设置中，仅放行Azure B2C的官方出站IP段，防止未授权访问。
• 在代理中实现请求转发逻辑，将B2C的Restful请求转递到AKS内部端点。
• 更新B2C自定义策略的RestfulProvider端点为代理的公网URL。
• 优势：无需升级B2C SKU，成本可控，访问权限易管控。

方案3：ExpressRoute 网络连接（适合已有企业级架构） #

• 若企业已通过ExpressRoute连接本地网络与Azure VNet，将B2C的虚拟网络集成到ExpressRoute的对等网络中。
• 升级B2C到Premium SKU并完成虚拟网络集成配置，让B2C通过ExpressRoute直接访问AKS内部端点。
• 适合有成熟ExpressRoute架构的场景，网络稳定性更高。

通用注意事项 #

• 确保B2C的出站请求能正确解析AKS内部域名，可通过配置VNet内的DNS服务器实现。
• 联调前先单独验证中转服务/私有端点与AKS的连通性，再接入B2C策略测试。
• 代理方案需额外配置身份验证（如API密钥），进一步加固访问安全。

内容的提问来源于stack exchange，提问作者SboubakerTN