B2C Custom Policy与内置策略结合时跨用户流用户名检索异常问题

问题根因 #

• 内置用户流创建的用户名默认存储在目录用户的signInNames.userName系统属性下，你开发的自定义策略的检索逻辑仅查询了自定义策略注册时写入的属性，没有覆盖内置策略的标准存储路径
• 部分自定义策略开发时会使用自定义扩展属性存储用户名，和内置策略的存储字段不匹配，导致无法跨策略查询

修复步骤 #

1. 对齐用户名存储属性
   首先调整自定义策略的注册流程声明映射，确保注册时写入的用户名统一存入signInNames.userName系统属性，和内置用户流保持一致，示例配置如下：

<TechnicalProfile Id="LocalAccountSignUpWithLogonName">
  <OutputClaims>
    <!-- 对齐内置用户流的用户名存储字段 -->
    <OutputClaim ClaimTypeReferenceId="signInNames.userName" PartnerClaimType="userName" Required="true" />
    <!-- 其余原有声明保持不变 -->
  </OutputClaims>
</TechnicalProfile>

2. 调整检索逻辑的查询字段
   修改自定义策略中负责用户名检索的Azure AD技术配置文件，将查询条件明确绑定到signInNames.userName属性，示例Filter配置如下：

<TechnicalProfile Id="AAD-UserReadUsingUserName">
  <Metadata>
    <Item Key="Operation">Read</Item>
    <Item Key="RaiseErrorIfClaimsPrincipalDoesNotExist">false</Item>
  </Metadata>
  <InputClaims>
    <!-- 查询条件指向内置标准用户名存储字段 -->
    <InputClaim ClaimTypeReferenceId="inputUserName" PartnerClaimType="signInNames.userName" Required="true" />
  </InputClaims>
  <!-- 其余原有输出声明、权限配置保持不变 -->
</TechnicalProfile>

3. 存量数据校验与兼容
   如果之前自定义策略已经生成了存量用户，用户名存储在其他自定义属性中，可以通过Microsoft Graph批量将这部分用户名同步到signInNames.userName字段，实现全量用户的统一检索。
4. 权限校验
   确认自定义策略关联的B2C应用身份拥有用户读取的全部权限，没有属性读取范围限制。

内容的提问来源于stack exchange，提问作者sChieras