关于Azure AD角色/组页面访问限制及Azure B2C应用权限配置的问询

这个方案完全可行！不过Azure B2C租户和主Azure AD租户相互独立，需要处理好管理员身份的映射问题，具体实现思路如下：

1. 将Azure AD全局管理员映射为应用内管理员 #

有两种常用实现方式：

• 方式一：邀请管理员到B2C租户并分配角色
  把主Azure AD的全局管理员用户邀请到你的Azure B2C租户中，然后在B2C租户的「角色和管理员」里创建自定义角色（比如AppAdmin），将这些受邀的管理员分配到该角色。用户登录时，令牌会自动带上这个角色声明。
• 方式二：用自定义策略验证管理员身份
  编写Azure B2C自定义策略，在用户登录流程中调用Microsoft Graph API，检查当前用户是否属于主Azure AD的全局管理员角色/组，再将管理员身份作为声明添加到令牌中。这种方式无需邀请用户到B2C租户，但需要配置API权限和自定义策略，复杂度稍高。

2. 用户资料的权限控制逻辑 #

• 用户自身访问：用户登录后，从令牌中提取sub（用户唯一标识）或oid（对象ID），查询资料时仅返回与该ID匹配的记录，编辑操作也仅允许修改自身资料；
• 管理员访问：在应用中检查用户令牌的roles声明，若包含自定义的AppAdmin角色，则允许访问所有用户的资料列表并支持编辑操作。

3. 头像上传的实用建议（非核心） #

可以将用户头像存储在Azure Blob存储中，在用户资料表中保存头像的Blob URL。设置Blob存储权限时，使用SAS令牌或Azure AD权限，确保用户仅能访问自己的头像Blob，管理员可访问所有用户的头像。

注意事项 #

• Azure B2C的本地账户存储在B2C租户中，主Azure AD管理员属于另一个租户，因此要么邀请他们到B2C租户，要么支持他们用Azure AD账号联合登录B2C应用；
• 确保令牌包含足够的声明（如角色、用户ID），可在应用注册的「令牌配置」中添加，或通过自定义策略扩展，这样应用才能正确判断权限。

内容的提问来源于stack exchange，提问作者user7613100