SaaS应用应使用单个还是多个Azure AD B2C租户？不同环境是否需独立租户？

多企业客户部署选型：共用租户 vs 单客户独立租户 #

绝大多数面向多企业客户的SaaS场景下，优先选择所有客户共用同一个AAD B2C租户，仅在少量特殊场景下为特定客户配置独立租户，核心原因如下：

• 运维效率差异：共用租户只需要维护一套用户流、自定义策略、API连接器、合规配置，所有规则更新、漏洞修复只需要操作一次即可覆盖全部客户，不会出现多租户配置不同步、版本不一致的问题；如果每个客户单独部署，客户量级上去后运维成本会指数级上升
• 成本差异：AAD B2C按月活跃用户(MAU)阶梯计费，共用租户的MAU统一汇总统计，可享受更高阶梯的低价费率；如果拆分多个独立租户，每个租户单独统计MAU，总支出会高出30%以上，小客户占比高的场景差异更明显
• 扩展能力差异：如果SaaS后续需要支持跨企业协作、统一生态账号等能力，共用租户只需要调整角色、组权限即可实现；如果是独立租户，需要额外配置跨租户身份联合，实现复杂度和运维成本都会大幅提升
• 独立租户仅适用于两类场景：一是客户有强监管要求，必须实现身份数据、认证日志的物理隔离；二是头部大客户要求完全独立的登录域名、品牌化配置、自定义合规规则，不愿意和其他客户共享任何身份基础设施。

多环境部署选型：共用租户 vs 分环境独立租户 #

dev/test/QA/prod所有环境必须各自部署独立的AAD B2C租户，绝对不建议多环境共用，核心原因如下：

• 避免生产故障：开发、测试环境会频繁修改用户流配置、调试自定义策略、批量生成测试用户，共用租户的情况下极容易出现误操作，比如不小心修改了生产登录规则、误删了生产用户数据，直接导致线上业务故障
• 权限隔离需求：开发、测试人员一般不需要生产环境的操作权限，独立租户可以单独配置RBAC权限，避免越权操作生产配置
• 迭代流程合规：新的身份配置可以按dev→test→QA→生产的顺序逐步验证、同步，完全验证通过后再上线到生产租户，避免未经验证的配置直接影响真实用户
• 成本和数据隔离：测试环境产生的大量测试用户不会计入生产租户的MAU统计，不会产生不必要的费用；同时测试日志、测试账号不会和生产真实用户数据混淆，也避免了合规风险。

内容的提问来源于stack exchange，提问作者Nick