Azure B2C是否支持自助组所有权及自助组管理功能？

基础认知澄清 #

• Azure AD B2C 目录本身原生支持安全组、Microsoft 365组对象的创建、成员/所有者角色分配，并非完全不支持组能力。默认用户流未开放的能力包含两部分：一是不会默认把组成员身份声明返回给应用，二是没有面向终端用户开放的自助组管理入口，这两部分能力可以通过自定义策略（Identity Experience Framework）补全，不需要额外采购第三方身份方案。
• 你遇到的「组所有者无法在访问面板查看所属组」是默认行为，原生访问面板的组管理能力只面向标准Azure AD租户开放，B2C租户没有开放这部分功能的入口，不需要反复排查配置问题。

可落地的自助组管理实现方案 #

• 方案一：基于自定义策略+Graph API搭建自托管自助管理门户
  这是目前生产环境落地最多的方案，完全不依赖微软原生访问面板：
  1. 首先修改B2C自定义策略，在信赖方策略中配置groups声明输出，可选择返回组Object ID或者组显示名，应用拿到声明后就可以直接基于组成员身份做条件访问权限判断。
  2. 自行开发轻量化组管理前端页面，托管在你自己的业务域名下：用户通过B2C登录后，后端通过客户端凭据流获取Graph API调用权限，根据当前登录用户的角色返回对应数据：普通用户可查看自己所属的组、申请加入/退出公开组；组所有者可查看自己管理的组、添加/移除组成员、修改组基础信息。
  3. 所有交互页面都可以完全自定义UI，全程不会出现微软相关域名，也不需要跳转到微软官方页面。
• 方案二：基于自定义策略 starter pack 快速搭建
  官方开源的自定义策略起始包已经内置了组声明返回、组权限校验的基础逻辑，只需要在这个基础上调整页面UI、对接自己的业务审批流（如果需要组加入审批）就可以上线，开发量比从零搭建少60%以上。

关于Azure B2B域名隐藏的认知纠正 #

• 「Azure B2B无法通过Front Door隐藏微软域名」的判断存在偏差：目前Azure AD B2B已经正式支持自定义登录域名，你可以直接把自己的业务域名绑定为B2B的登录端点，不需要反向代理就不会在登录流程中暴露默认的microsoftonline.com域名。如果已经在使用Azure Front Door做全局流量入口，也可以通过配置源站请求头重写、SSL证书双向绑定，把B2B登录流量完全代理到你的自定义域名下，跳转流程全程不会出现微软官方域名。
• 补充选型建议：如果你的用户群体是面向公众的消费者用户，不是合作组织的企业身份用户，B2C的适配性仍然高于B2B，不需要为了组管理能力切换到B2B方案。

注意：不要尝试通过反向代理篡改微软原生My Access面板内容实现自定义组管理，该操作违反Azure服务使用条款，会触发租户风控拦截。

内容的提问来源于stack exchange，提问作者Chris Hargraves