Azure AD B2C返回的idp_access_token能否调用Google/Microsoft API

结论：默认配置下拿到的idp_access_token无法直接调用Google、Microsoft的官方API，你测试遇到的令牌无效、无有效声明属于符合预期的现象，核心原因和对应解决方法如下：

核心原因 #

• 默认配置下B2C不会透传第三方IdP签发的有效访问令牌
  官方文档提到的「IdP签发的令牌作为声明返回」属于需要手动开启的能力，不是默认生效的。默认的用户流、自定义策略里，idp_access_token只是预留的声明占位符，没有做IdP返回值和应用声明的映射，你拿到的无效空字符串/无意义内容根本不是第三方IdP实际签发的访问令牌。
• 默认申请的令牌权限不满足API调用要求
  你在B2C中配置Google、Microsoft身份提供方时，默认申请的授权范围（scope）仅包含openid、email、profile这类获取用户基础身份信息的权限，没有申请调用Google服务API、Microsoft Graph等接口需要的对应权限，就算拿到了有效令牌，也会因为权限不足被接口拒绝。
• 令牌绑定的授权主体不匹配调用场景
  第三方IdP签发的access token会绑定发起授权请求的客户端ID、重定向地址、授权目标受众，B2C发起第三方授权时用的是B2C租户在IdP侧注册的服务凭据，不是你自身业务应用的凭据，这类令牌的默认受众是B2C服务本身，不是你要调用的业务API，也不认可你的业务应用作为合法调用方。

正确使用方式 #

1. 显式开启IdP令牌透传配置
   在B2C对应的用户流/自定义策略中，给Google、Microsoft身份提供方添加声明映射规则，将IdP授权流程中返回的原始access_token映射到B2C面向应用颁发的声明集合中，同时在你的应用注册配置里，将idp_access_token加入允许返回给客户端的可选声明列表。
2. 补充对应API的授权范围配置
   在B2C的第三方IdP配置项中，添加你需要调用的目标API对应的授权范围，同时提前在Google、Microsoft的开发者控制台，给B2C使用的IdP应用配置对应权限，完成必须的管理员同意流程（针对需要组织管理员授权的权限项）。
3. 调用前做令牌有效性校验
   拿到B2C返回的idp_access_token后，先通过对应IdP的公开令牌校验接口验证令牌有效性、解析内置声明，确认令牌包含你需要的权限范围、且在有效期内再发起API调用。如果遇到令牌受众不匹配、权限无法覆盖需求的场景，不要强行使用透传令牌，应该在业务侧单独走对应IdP的OAuth授权流程，获取专门用于API调用的访问令牌。

内容的提问来源于stack exchange，提问作者rr14