Azure B2C中用户与应用租户及角色映射的最佳实践咨询

三个方案的优劣拆解 #

1. 按租户+角色创建AAD组 #

• 优势：直接复用B2C原生组管理能力，用户登录时可通过groups声明获取所属组，无需自行开发映射逻辑；联合账户的企业管理员可直接将用户添加至B2C组（需具备B2C管理权限）。
• 局限：租户与角色组合较多时，组数量会急剧膨胀（比如100个租户×3种角色=300个组），管理成本陡增；B2C组查询API存在速率限制，大规模场景下易出现性能瓶颈；联合用户无法直接复用企业自有AAD组，需额外配置同步流程。

2. 用自定义属性存储tenantid与角色 #

• 优势：数据直接附着在B2C用户对象上，登录时可作为自定义声明返回给应用，无需额外查询；适合用户关联租户数量较少的场景。
• 局限：B2C自定义属性有存储容量限制，若用户关联多个租户或需在同一租户下存储多角色，属性空间会不足；无法通过B2C原生管理界面维护，必须自行开发管理UI或通过Graph API批量操作；权限变更需更新用户属性，实时性依赖同步效率。

3. 应用数据库独立维护映射关系 #

• 优势：完全自定义，支持任何复杂的租户-用户-角色逻辑（比如用户在不同租户拥有不同角色、同一租户下多角色叠加）；不受B2C功能限制，可与应用其他业务数据深度整合（如租户详情、细粒度权限）。
• 局限：需自行设计映射表（例如UserTenantRoles表，包含用户ID、租户ID、角色ID）并开发管理逻辑；用户登录后需额外查询数据库获取权限，增加一次后端调用；权限管理界面需自行开发，无法复用B2C现成工具。

选型建议 #

• 小规模场景（租户数量几十以内，用户关联租户/角色组合少）：方案1或2均可。选方案1可减少自定义逻辑开发；选方案2可在登录时直接获取权限声明，降低后端查询压力。
• 大规模多租户场景（上百个租户，用户常跨多个租户且角色不同）：优先选方案3，其灵活性与扩展性最强，不会被B2C功能限制。此外，可通过B2C自定义策略，在登录时调用自研API将用户的租户与角色信息注入ID Token，避免应用每次查询数据库。

联合账户补充说明 #

无论采用哪种方案，联合用户在B2C中均以外部身份对象存在，处理逻辑与本地账户一致——只需将该身份对象与租户/角色映射关联即可。

内容的提问来源于stack exchange，提问作者PeteC