Azure AD B2C自定义策略密钥管理：能否用2个密钥同时验证id hint令牌

你的密钥轮换方案完全可行，属于Azure AD B2C自定义策略场景下密钥滚动更新的标准操作，完全能满足过渡期新旧邀请链接都正常验证的需求。

底层验证逻辑说明 #

• Azure AD B2C的策略密钥容器天然支持多版本密钥并存，当自定义策略引用B2C_1A_IdTokenHintCert容器做邀请令牌的签名校验时，服务端会自动遍历容器内所有处于启用状态的公钥逐一匹配，只要令牌签名和任意一个有效公钥匹配，就会判定验证通过，不会出现仅识别最新上传密钥、拒绝旧签名令牌的问题。
• 你配置的邀请令牌有效期为1个月，只要旧证书在密钥容器内留存到最后一批用旧证书签发的邀请令牌全部过期，就能完全覆盖尚未接受邀请用户的使用场景，不会出现历史邀请链接失效的问题。

操作注意要点 #

• 向B2C_1A_IdTokenHintCert容器添加续期新证书时，选择「新增密钥版本」入口上传，不要直接覆盖删除原有旧证书条目，上传后确认旧版本密钥的状态保持为「已启用」。
• 新旧密钥并存的过渡期内，你可以随时替换Web服务器上用于签发新邀请令牌的证书，替换后新生成的邀请链接用新证书签名，B2C侧会自动匹配对应公钥完成校验，全程不需要调整自定义策略的配置。
• 等所有旧证书签发的邀请令牌都超出1个月有效期后，再将密钥容器内的旧证书版本禁用、删除即可，不会对业务造成影响。

避坑提醒：不要在上传新证书后立刻给旧证书设置禁用或过期时间，旧证书的启用时长至少要覆盖完整的令牌有效期窗口，避免仍在有效期内的历史邀请链接验证失败。

内容的提问来源于stack exchange，提问作者Coy Meeks