使用Azure AD B2C/B2B保护on-premise Web应用的集中式IAM方案咨询

选型适配性判断 #

核心需求为部署在全球多客户环境的本地Web应用，搭建无需自研的集中式身份认证（AuthN）和授权（AuthZ）体系，属于典型的B2B多租户企业应用场景，优先匹配面向合作伙伴身份管理的Azure服务。

Azure AD B2C与B2B的适用场景明确 #

• Azure AD B2B
  天生适配面向多企业客户的服务场景，可同时提供开箱即用的AuthN和AuthZ能力：AuthN层面支持对接客户侧任意标准身份源（企业AD、第三方IAM等），无需客户单独维护你方应用的账号体系；AuthZ层面内置RBAC、自定义安全组、声明映射能力，可直接将角色、权限信息写入身份令牌，应用仅需解析令牌即可完成权限校验，无需额外开发权限存储、判断逻辑。
• Azure AD B2C
  定位为面向C端消费者的身份管理服务，核心能力仅聚焦AuthN，原生无开箱可用的细粒度授权能力，若要实现完整AuthZ需要额外对接API连接器、自定义策略或第三方中间件，适配成本极高，完全不适合B端多客户场景。

本地部署应用的落地方案 #

首选采用Azure AD B2B + Azure AD应用代理组合方案：

1. 集中式身份层用Azure AD B2B搭建，支持客户用户以企业账号直接单点登录你方应用，也支持为客户创建专属来宾账号
2. 授权逻辑直接复用Azure AD B2B内置的应用角色配置能力，可针对不同客户、不同用户组配置专属权限，权限信息会自动携带在返回给应用的ID令牌、访问令牌中，你方本地应用仅需做简单的令牌解析即可完成权限判断，完全不需要自研IAM体系
3. 用Azure AD应用代理发布你方本地部署的Web应用，无需将应用直接暴露在公网，Azure全球节点覆盖可满足多地域客户的低延迟访问需求

内容的提问来源于stack exchange，提问作者Suresh Kumar