Azure AD B2C对接External Identity Provider及角色配置可行性问询

你的理解基本正确，该场景完全可以通过Azure AD B2C落地，你提到的自行维护管理员清单、在用户旅程（Journey/Orchestration）编排阶段调用API注入角色声明的方案是可行的，同时还有更贴合你需求的优化选项可以参考：

需求可行性确认 #

• 合作组织Azure AD账号免注册登录、账号运维由合作方自行负责：直接将合作方Azure AD配置为B2C的外部身份提供商即可，用户直接用原有合作方Azure AD账号登录，不需要在你侧创建新账号，密码重置、账号生命周期管理等工作全部由合作方自行维护，你侧不需要处理相关运维。
• 本地账号支持：Azure AD B2C原生提供本地账号的创建、管理能力，可直接满足无外部IdP的用户使用需求。

管理员角色配置的两种可选方案 #

方案1：你提到的自定义API注入方案 #

如果你的角色判断规则需要结合自身业务逻辑做灵活调整（比如要叠加你侧的业务权限、黑白名单规则等），这个方案完全符合B2C的最佳实践：在用户登录流程中调用你侧的权限查询API，匹配本地维护的管理员清单后，将role声明写入返回的JWT令牌即可。

方案2：原生声明映射方案（更贴合你“合作方自行配置管理员”的需求） #

如果不需要结合你侧业务规则，完全可以不用自行维护管理员清单：要求合作方在自己的Azure AD中，为需要授予管理员权限的用户分配指定的应用角色、自定义扩展属性或者加入指定安全组，你在配置合作方Azure AD作为外部IdP的时候，直接将对应的角色/属性/组声明映射到B2C的令牌输出规则中即可。后续合作方只需要在自己的Azure AD中调整用户的对应属性，就可以自动完成管理员角色的授予/撤销，完全不需要你侧介入运维。

内容的提问来源于stack exchange，提问作者BTRox