使用第三方WAF配置Azure AD B2C自定义域名时为何需Azure Front Door

Azure AD B2C对自定义域名的配置有两个核心硬性要求，这就是即便使用第三方WAF也必须搭配Azure Front Door的关键原因：

• 证书托管与自动续约的强制绑定
  Azure AD B2C要求自定义域名的TLS证书必须托管在Azure Key Vault中，且支持自动续约。目前只有Azure Front Door能和Azure AD B2C原生集成，自动完成证书的绑定、更新和续约全流程。第三方WAF无法直接对接B2C的证书托管机制，若跳过Front Door，你只能手动维护证书，一旦过期就会导致登录/注册页面直接失效，生产环境中风险极高。

• 身份验证流量的合规路由要求
  Azure AD B2C的身份验证流程（令牌签发、会话管理、回调处理等）依赖微软管控的边缘节点保障安全与合规性。Front Door作为微软原生服务，能确保流量严格按照B2C要求的路径路由到后端身份服务，避免出现回调地址不匹配、令牌验证失败等致命问题。第三方WAF仅能提供额外安全防护（如防DDoS、SQL注入），但无法替代Front Door完成与B2C服务的原生路由对接，强行跳过会直接导致身份验证流程失效。

此外，Front Door的全球边缘节点还能优化全球用户的登录延迟，这是第三方WAF通常不具备的针对B2C身份场景的专属优化能力。

内容的提问来源于stack exchange，提问作者Deepak Thakur