Azure AD B2C通过条件访问技术配置文件修复风险用户的方案咨询

可以通过自定义B2C策略实现用户风险的自动修复，你测试出现的差异是两类风险的默认修复触发逻辑不同导致的：登录风险仅需完成MFA即可自动标记为已修复，但用户风险的修复需要在策略中显式配置对应的触发步骤，具体实现要点如下：

• 首先确认你的B2C租户已开启Identity Protection用户风险相关功能，且自定义策略中已正确引入Identity Protection的基础技术配置文件。
• 在用户旅程的MFA验证完成步骤后，新增调用B2C内置UserRiskRemediation技术配置文件的编排步骤，参考配置片段如下：

  <OrchestrationStep Order="替换为你业务流程对应的步骤序号" Type="ClaimsExchange">
    <ClaimsExchanges>
      <ClaimsExchange Id="UserRiskRemediationCall" TechnicalProfileReferenceId="UserRiskRemediation" />
    </ClaimsExchanges>
  </OrchestrationStep>
  

• 在依赖方（Relying Party）策略的输出声明段中加入userRiskLevel、userRiskState声明，确保风险状态变更可以同步到租户目录。
• 若你的条件访问策略针对高用户风险要求除MFA外还需重置密码，需要在风险修复步骤前额外增加密码重置的编排步骤，否则高风险用户仅完成MFA无法完成风险修复。

配置完成后重新上传策略测试，用户完成对应验证步骤后，风险用户报告中的用户风险状态就会自动更新为Remediated。

内容的提问来源于stack exchange，提问作者Anton