Azure B2C联邦登录无自助注册场景实现方案咨询

整体方案完全基于B2C自定义策略（Identity Experience Framework）实现，不需要调整你现有SCIM端点的核心同步逻辑，可100%覆盖你列的所有业务规则，具体落地步骤如下：

一、基础旅程与入口配置 #

• 身份提供者保留两类：多租户Azure AD联邦IdP、本地账号密码登录。默认登录页通过内容模板隐藏本地账号的用户名密码输入区，仅展示Azure AD登录按钮，降低普通用户的理解成本；给第三方顾问使用的本地登录入口，通过专属query参数触发（比如登录地址带?show_local_login=1时才渲染密码输入框），普通用户无感知，也不会出现入口混淆的问题。
• 从策略底层关闭所有自助注册路径：删除本地账号注册、联邦用户即时注册（JIT Provisioning）的所有编排步骤，不要仅靠前端隐藏注册按钮，从流程根上禁止用户自行创建账号。

二、登录核心校验逻辑（按分支严格拦截） #

所有登录路径（联邦登录、本地账号登录）在校验完身份凭据后，按顺序加两层校验，顺序不能调换：

1. 账号存在性校验
   • 联邦登录场景：拿到Azure AD返回的租户ID、用户objectId声明后，先在B2C目录中查询绑定了对应联邦标识的用户。如果没有匹配到预创建的用户，直接返回指定错误码，重定向回登录页展示「您暂无系统访问权限，请联系管理员申请开通」，全程不触发任何自动创建用户的逻辑。如果匹配到用户，读取用户的accountEnabled属性进入下一层校验。
   • 本地账号登录场景：校验完用户名密码正确性后，直接读取对应用户的accountEnabled属性进入下一层校验，用户名密码错误直接返回常规的凭据错误提示。
2. 账号状态校验
   判断读取到的accountEnabled属性值：
   • 如果值为false，直接返回专属错误码，重定向回登录页展示「您的账号已被禁用，请联系管理员处理」。
   • 如果值为true，写入会话所需的全部声明，签发id token，完成登录跳转。

三、预创建账号与联邦身份绑定 #

你现有SCIM端点调用Graph创建预生成本地账号的逻辑可以保留，只需要做一处小调整：

• 条件允许的话，创建用户时直接把对应用户的联邦身份信息写入用户对象的federatedIdentities属性，存好客户Azure AD租户ID、用户在客户侧的objectId，这样用户走联邦登录时可以直接匹配到预创建账号，不需要登录时额外做绑定操作，流程更稳妥。
• 如果同步阶段拿不到准确的联邦标识，也可以在联邦身份校验通过后，用用户邮箱/UPN（SCIM同步时已经写入B2C目录，是确定值）作为唯一键匹配预创建的本地账号，第一次匹配成功时自动把联邦标识写入用户对象完成绑定，后续登录直接走联邦标识匹配即可。这个逻辑和官方提供的联邦-本地账号绑定逻辑一致，只要提前加死「匹配不到用户直接抛错」的判断，就不会出现自动创建新用户的问题。

四、特殊场景适配 #

• 第三方顾问的本地账号，全部由管理员通过B2C后台或内部管理工具手动创建，创建时设置初始密码、强制首次登录修改密码，这类账号不需要绑定任何联邦身份，走隐藏的本地登录入口访问即可，生命周期由内部管理员手动维护，SCIM同步逻辑不需要覆盖这类账号。
• 两个拦截场景的错误提示不要用B2C默认的通用错误文案，分别给「无匹配账号」「账号禁用」配置独立的错误码和本地化文案，用户看到的提示清晰无歧义。
• 如果不需要即时踢出已登录的被禁用用户，现有SCIM把accountEnabled设为false的逻辑完全够用，用户下次登录时会被直接拦截；如果有强管控要求，再加一个会话鉴权时的实时用户状态查询步骤即可，非必要不建议加，会增加额外的接口调用开销。

内容的提问来源于stack exchange，提问作者Mitkins