Azure AD B2C SSPR默认密码策略适用性及规则咨询

B2C 密码与SSPR政策相关问题解答 #

1. SSPR默认90天有效期规则是否适用于B2C本地账户

不适用。
你看到的90天默认密码有效期规则仅针对标准Azure AD租户的工作/学校账户，Azure AD B2C的本地账户没有默认的全局强制密码过期策略，也无法通过Set-MsolPasswordPolicy这类面向标准Azure AD的PowerShell cmdlet配置全局密码有效期。
你通过Graph API为用户设置的"passwordPolicies": "DisablePasswordExpiration"参数在B2C场景下会直接生效，不会被全局规则覆盖。你已经测试通过的「用户登录时强制密码重置」自定义策略，就是B2C下自定义密码相关规则的典型实现方式，不受标准Azure AD全局SSPR政策的影响。

2. 标准Azure AD用户与B2C租户用户的SSPR政策差异

两者SSPR政策逻辑存在明显区别，核心差异如下：

• 密码有效期配置逻辑：标准Azure AD支持全局配置统一的密码过期时长，默认90天，可通过PowerShell或Azure门户全局调整；B2C本地账户无全局密码过期配置入口，仅支持两种方式配置过期规则：单用户通过Graph API设置passwordPolicies属性，或是通过自定义策略自行编写过期校验逻辑
• 验证规则灵活性：标准Azure AD SSPR的验证方式、验证流程由租户全局SSPR配置统一控制，可调整范围有限；B2C的SSPR逻辑完全由对应的用户流或自定义策略控制，可灵活自定义验证因子、验证步骤、重置后跳转逻辑等，不受全局Azure AD SSPR配置限制
• 政策生效范围：标准Azure AD的SSPR政策对租户内所有符合条件的工作/学校账户统一生效；B2C的SSPR规则仅对当前用户流/自定义策略覆盖的用户群体生效，不同业务场景可以配置完全独立的SSPR规则
• 自定义优先级：标准Azure AD中单用户的密码策略优先级高于全局配置；B2C中不存在全局密码过期/SSPR配置，用户属性设置优先级最高，仅会被自定义策略中的额外校验逻辑覆盖

内容的提问来源于stack exchange，提问作者Karikalan