Azure AD B2C中使用Microsoft Account身份提供商登录企业账户的问题排查

你的问题核心在于：Azure AD B2C中的「Microsoft Account」身份提供商仅支持个人MSA（live.com账户），并不包含企业Azure AD账户。即使应用注册的signInAudience设为AzureADandPersonalMicrosoftAccount，也无法通过这个身份提供商让企业账户登录——两者依赖的身份验证端点完全不同。

以下是具体解决步骤：

1. 在Azure AD B2C中添加「Azure Active Directory」身份提供商 #

• 登录Azure门户，进入你的Azure AD B2C租户。
• 导航到身份提供商 > 新建，选择「Azure Active Directory」类型。
• 根据需求配置：
  • 若要支持特定企业租户的账户：
    • 选择「单一租户」，输入目标企业租户的ID（可在企业Azure AD租户的「概述」页面获取）。
    • 在该企业租户中创建应用注册，将应用的客户端ID和客户端密钥填入B2C的身份提供商配置中。
    • 设置回复URL为https://<你的B2C租户名>.b2clogin.com/<你的B2C租户名>.onmicrosoft.com/oauth2/authresp。
  • 若要支持所有企业Azure AD租户的账户：
    • 选择「任何Azure AD租户」，将「租户ID」设置为organizations。
    • 使用Microsoft预配置应用（或自行创建多租户应用），填入客户端ID和密钥，回复URL同上。
• 保存该身份提供商配置。

2. 更新SignUpSignIn用户流 #

• 进入你的SignUpSignIn用户流，点击「编辑」。
• 在「身份提供商」步骤中，勾选刚添加的「Azure Active Directory」身份提供商。
• 保存用户流后，点击「运行用户流」测试——此时企业账户将被引导至对应的Azure AD登录页面，而非live.com。

3. 验证应用注册配置（可选） #

确认你的应用注册signInAudience确实为AzureADandPersonalMicrosoftAccount，这个设置允许应用接受来自个人MSA和企业Azure AD的令牌，但前提是B2C已配置对应的身份提供商来路由请求。

额外排查点 #

若仍有问题，检查：

• 企业Azure AD租户是否允许外部用户登录（可在企业租户的「外部协作设置」中确认）。
• 身份提供商配置中的客户端密钥是否有效、未过期。
• 用户流关联的应用注册是否为目标应用。

内容的提问来源于stack exchange，提问作者Stimmler