Azure AD B2C 审计日志不显示自定义属性值变更如何解决

默认Azure AD B2C的原生审计日志仅会记录标准用户属性的变更内容，自定义属性的修改取值默认不会在审计日志中透出，无论是预置用户流还是自定义策略的操作，默认行为一致。你可以通过以下几种自定义方案实现该类数据的采集：

• 自定义策略嵌入日志上报步骤
  在你的资料编辑自定义策略对应的SelfAssertedAttributeProvider技术配置文件中，在属性提交验证通过的步骤后，新增一个REST API调用步骤。将本次修改涉及的自定义属性的变更前值、变更后值、用户ID、操作时间等信息作为参数，发送到你自行搭建的日志采集服务存储，完成自定义属性变更的审计记录。
• 对接Microsoft Graph变更通知能力
  为Azure AD的用户资源配置变更订阅，监听用户对象的更新事件。当收到用户属性变更的通知回调后，调用GET /users/{user-id}接口主动拉取用户最新属性，自定义属性在Graph中的命名格式为extension_{B2C扩展应用ID}_{自定义属性名}，请求时需要在$select参数中显式指定对应的自定义属性名称才能获取到取值。你可以自行对比变更前后的属性值生成审计日志。
• 结合诊断日志导出做关联匹配
  为Azure AD B2C租户开启诊断设置，将审计日志导出到Log Analytics工作区、Azure存储账户或事件中心。你可以结合原生审计日志中记录的用户操作时间、用户唯一标识，和你在资料编辑前端/后端采集到的用户提交的自定义属性数据做关联，拼接出完整的属性变更审计记录。

目前Azure AD B2C未提供原生开关支持将自定义属性变更内容写入官方审计日志，所有相关采集需求都需要通过自定义开发实现。

内容的提问来源于stack exchange，提问作者Andrea Furlan