如何实现AKS与Azure AD B2C集成，替代Azure AD？

原生AKS默认仅支持与Azure AD（企业版）做OIDC集成实现集群身份认证，要替换为Azure AD B2C可以走以下两种落地路径：

路径1：自定义OIDC Provider配置实现直接集成 #

• 首先在Azure AD B2C租户内注册集群身份验证应用和客户端登录应用两个应用注册，配置对应Web/公共平台的重定向URI，暴露集群访问所需的自定义scope（比如aks.access）
• 配置B2C的用户流（或自定义策略），确保令牌返回的声明包含sub、email、groups（如果需要RBAC权限映射）等必要字段，调整ID令牌、访问令牌的签发方格式为标准OIDC格式，关闭B2C特有签发方后缀兼容
• 执行以下命令更新AKS集群配置，绑定自定义B2C OIDC Provider：

az aks update \
  --name <你的AKS集群名> \
  --resource-group <你的资源组名> \
  --oidc-issuer-url https://<你的B2C租户名>.b2clogin.com/<你的B2C租户ID>/v2.0/ \
  --oidc-client-id <集群身份验证应用的客户端ID> \
  --oidc-username-claim sub \
  --oidc-groups-claim groups

• 配置kubectl的OIDC认证插件，或配合Azure CLI对接B2C用户流完成登录验证，后续可基于B2C返回的用户、组声明配置AKS RBAC角色绑定，实现细粒度权限控制。

路径2：基于认证代理的身份转发集成 #

• 如果你需要保留B2C的自定义认证能力（比如社交账号登录、多租户身份校验），可以在AKS集群前部署认证代理（比如OAuth2 Proxy、Dex）
• 将认证代理与B2C做OIDC集成，所有访问Kubernetes API的请求先经过代理完成B2C身份校验，校验通过后代理将用户身份信息通过请求头转发给API Server，同步配置API Server信任代理的身份信息即可
• 该方案不需要修改AKS原生OIDC配置，兼容B2C所有自定义认证特性，适合对登录流程有强定制需求的场景。

注意：当前Azure Portal的AKS管理页面暂不支持B2C身份认证，配置完成后仅能通过kubectl、自研运维平台等方式访问集群，也可额外配置Azure AD与B2C的双向信任做身份映射兼容Portal访问。

内容的提问来源于stack exchange，提问作者priyankad