AAD B2C问题：管理员重置密码后，用户无法通过登录策略URL改密

这个问题的核心在于AAD成员用户的密码控制权属于主AAD租户，而非B2C租户，两者的登录流程对临时密码的处理逻辑存在差异。我来帮你拆解原因和对应的解决方案：

为什么会出现这个情况？ #

当你在主AAD租户后台重置成员用户的密码时，生成的临时密码受主AAD的密码策略约束——要求用户首次登录主AAD资源（比如portal.azure.com）时必须修改密码。但AAD B2C的默认登录策略（无论是用户流还是基础自定义策略）并不会主动识别主AAD的这个“强制改密码”状态，所以用户用临时密码登录B2C表单时，系统只会判定密码不符合要求，而不会触发改密码流程。

解决方案 #

1. 临时应急方案：引导用户先通过主AAD入口完成密码修改 #

这是最快解决当前用户问题的办法：

• 让用户直接访问 portal.azure.com，使用UPN和管理员重置的临时密码登录
• 按照页面提示完成新密码设置，之后再返回B2C登录策略URL，用新密码就能正常登录并使用所有功能了

2. 长期优化：修改B2C自定义策略，适配成员用户的强制改密码流程 #

如果希望用户能直接通过B2C登录流完成临时密码修改，需要在自定义策略中添加逻辑，主动检测成员用户的密码状态：

• 步骤1：识别成员用户
  在策略中通过用户的身份提供者（issuer）判断是否为AAD成员用户（主AAD租户的issuer格式为https://login.microsoftonline.com/{主租户ID}/v2.0）
• 步骤2：调用Microsoft Graph API检查密码状态
  添加一个编排步骤，调用Graph API的GET /users/{user-id}接口，获取passwordProfile.forceChangePasswordNextSignIn属性的值
• 步骤3：分支到密码修改流程
  如果该属性为true，则引导用户进入密码修改页面（可以复用B2C的密码重置流程，或者调用主AAD的密码修改接口）

注意：默认的B2C用户流不支持这种自定义逻辑，所以必须使用自定义策略来实现。

3. 检查B2C与主AAD的信任配置 #

确保B2C租户和主AAD租户的联合身份验证配置正确：

• 确认主AAD已被添加为B2C的身份提供者
• 检查声明映射，确保用户的身份信息能正确传递到B2C流程中
• 验证主AAD的密码策略是否允许用户在B2C环境中完成修改（部分严格的策略可能限制只能在主AAD入口修改）

关键注意点 #

AAD成员用户的密码生命周期完全由主AAD租户管理，B2C只是作为身份代理角色。所以任何涉及密码强制修改、复杂度校验的规则，最终都要以主AAD的配置为准。如果你的场景中有大量成员用户通过B2C登录，建议在自定义策略中整合主AAD的密码状态检测逻辑，提升用户体验。

内容的提问来源于stack exchange，提问作者Dmitry Tabakerov