创建MSAL v2端点Azure B2C应用时的管理员账号选择问题

我来帮你理清这三类账号在创建使用v2 MSAL端点的Azure B2C应用时的差异，以及各自的适用场景：

1. 默认Office365 + AAD管理员账号（@[tenant].onmicrosoft.com格式） #

• 账号本质：这是你创建Azure AD租户时自带的全局管理员账号，同时绑定了Office 365服务，拥有整个Azure AD租户的最高权限，并且能关联访问B2C目录。
• 创建体验与结果：
  • 登录Azure门户后可以直接切换到关联的B2C目录，创建应用时能顺畅配置所有MSAL v2相关的核心设置——比如重定向URI、API权限范围、客户端密钥/证书这些都没有权限限制。
  • 创建的应用直接归属到B2C目录下，后续不管是修改应用配置，还是调整B2C租户的全局设置，这个账号都能搞定，不用额外授权。
• 适合场景：如果你的团队同时在用Azure AD和B2C服务，这个账号作为日常管理的主账号最省心，权限统一，不用来回切换身份。

2. 长期有效LiveID账号（个人微软账号） #

• 账号本质：这是外部身份的个人账号（比如@outlook.com、@hotmail.com），不属于你的Azure AD或B2C租户，需要先被添加为B2C目录的管理员角色才能操作。
• 创建体验与结果：
  • 登录前必须先在B2C目录里给这个账号分配管理员权限（比如B2C全局管理员），否则连B2C资源都看不到。
  • 创建应用时只能在授权的B2C目录内操作，权限被限制在B2C范围内，没法访问关联的Azure AD租户里的其他服务（比如云服务器、存储账户）。
  • 一些涉及跨租户集成的高级配置可能会受限于外部身份，而且如果个人账号出问题（比如被盗、注销），会直接影响B2C应用的管理。
• 适合场景：只适合临时授权给外部顾问、第三方合作人员来管理B2C应用，绝对不建议作为长期的管理账号使用。

3. Azure B2C目录内创建的管理员账号 #

• 账号本质：这是直接在B2C目录里创建的本地管理员账号（属于B2C租户内部身份，和Azure AD账号完全独立），账号格式一般也是@[b2c-tenant].onmicrosoft.com。
• 创建体验与结果：
  • 登录后只能访问当前B2C目录的资源，完全和Azure AD租户的权限隔离，专注于B2C服务的管理。
  • 创建MSAL v2应用时，所有必要的配置（包括身份提供者设置、令牌配置）都能正常操作，不会有权限阻碍，而且不会受到Azure AD租户权限变更的影响。
• 适合场景：如果你的团队有专门负责B2C应用管理的人员，或者希望把B2C的管理权限和Azure AD租户的权限彻底隔离开，这个账号是最优选择。

总结建议 #

• 综合管理Azure AD+B2C：选默认Office365 + AAD管理员账号
• 专注B2C权限隔离：选Azure B2C目录内创建的管理员账号
• 临时外部人员授权：选长期有效LiveID账号

内容的提问来源于stack exchange，提问作者TLDR