Azure AD B2C：常见问题 (FAQ)

Microsoft Entra 扩展无法为你工作有两个常见原因。 Azure AD B2C 要求你在目录中具备全局管理员的用户角色。 如果你认为应具有访问权限，请与管理员联系。 如果你拥有全局管理员权限，请确保你位于 Azure AD B2C 目录（而不是 Microsoft Entra 目录）中。 可以查看有关创建 Azure AD B2C 租户的说明。

Microsoft Entra ID 和 Azure AD B2C 是单独的产品/服务。 要使用 Azure AD B2C 功能，请创建一个独立于现有的基于员工的 Microsoft Entra 租户的 Azure AD B2C 租户。 一个 Microsoft Entra 租户代表一个组织。 Azure AD B2C 租户表示信赖方应用使用的标识集合。 通过在“Azure AD B2C > 标识提供者”下添加“新的 OpenID Connect 提供程序”，或者通过使用自定义策略，Azure AD B2C 可以与 Microsoft Entra ID 联合，以便对组织中的员工进行身份验证。

在 Microsoft Entra 租户中，属于该租户的用户使用 <xyz>@<tenant domain> 形式的电子邮件地址登录。 <tenant domain> 是租户中已验证域之一或初始的 <...>.partner.onmschina.cn 域。 此类型的帐户是工作或学校帐户。

在 Azure AD B2C 租户中，大多数应用都希望用户使用任意电子邮件地址（例如 joe@comcast.net、bob@gmail.com、sarah@contoso.com 或 jim@live.com）登录。 此类型的帐户是本地帐户。 我们还支持任意用户名作为本地帐户（例如，joe、bob、sarah 或 jim）。 在 Azure 门户中配置 Azure AD B2C 的标识提供者时，可以选择这两种本地帐户类型中的一种。 在 Azure AD B2C 租户中，依次选择“标识提供者”、“本地帐户”和“用户名”。

可以通过注册用户流、注册或登录用户流、Microsoft Graph API 或 Azure 门户来创建应用程序的用户帐户。

• 默认情况下，每个租户总共可以容纳 125 万个对象（用户帐户和应用程序），但在添加和验证自定义域时，可以将此上限提高到 525 万个对象。 如果想要提高此上限，请联系 Microsoft 支持部门。 但是，如果在 2022 年 9 月之前创建了你的租户，此限制则不会影响你，并且你的租户将保留创建时分配给它的大小，即 5000 万个对象。

目前，我们支持多个社交标识提供者，包括 GitHub（预览版）、QQ（预览版）、WeChat（预览版）和 Weibo（预览版）。 我们会根据客户需求来评估是否增加对其他常见社交标识提供者的支持。

Azure AD B2C 还支持自定义策略。 自定义策略允许你为支持 OpenID Connect 或 SAML 的任何标识提供者创建自己的策略。 查看我们的自定义策略初学者包，开始使用自定义策略。

在 ADFS 服务器上，运行：Set-AdfsProperties -SignedSamlRequestsRequired $true。 这将强制 Azure AD B2C 对所有对 ADFS 的请求进行签名。

不，可以在任何位置（在云中或本地）托管应用程序。 只要能在公共可访问的端点上发送和接收 HTTP 请求，它就可以与 Azure AD B2C 进行交互。

在 Azure 门户中打开 Azure AD B2C 服务之前，必须切换到要管理的目录。 选择顶部菜单中的“设置”图标，以便从“目录 + 订阅”菜单切换到要管理的目录。

你可能没有创建 Azure AD B2C 租户的权限。 只有具有全局管理员或租户创建者角色的用户才能创建租户。 你需要联系全局管理员。

可以使用公司品牌功能来自定义验证电子邮件的内容。 具体来说，可以自定义电子邮件的下列两个元素：

• 横幅徽标：显示在右下角。

• 背景色：显示在顶部。

  

电子邮件签名包含首次创建 Azure AD B2C 租户时提供的 Azure AD B2C 租户名称。 可以使用以下说明更改名称：

1. 以全局管理员身份登录到 Azure 门户。
2. 打开“Microsoft Entra ID”边栏选项卡。
3. 选择“属性”选项卡。
4. 更改“名称”字段。
5. 在页面顶部选择“保存”。

目前不能更改电子邮件的“发件人:”字段。

可以使用 Microsoft Graph API 编写迁移工具。 有关详细信息，请参阅用户迁移指南。

本地帐户的 Azure AD B2C 密码用户流以 Microsoft Entra ID 的策略为基础。 Azure AD B2C 的注册、注册或登录和密码重置用户流使用“强”密码强度，并且不会让任何密码过期。 有关详细信息，请参阅 Microsoft Entra ID 中的密码策略和限制。

否，Microsoft Entra Connect 并不适用于 Azure AD B2C。 请考虑使用 Microsoft Graph API 进行用户迁移。 有关详细信息，请参阅用户迁移指南。

与 Microsoft Dynamics 365 门户的集成可用。 请参阅配置 Dynamics 365 门户以使用 Azure AD B2C 进行身份验证。

Azure AD B2C 不适用于 SharePoint 外部合作伙伴共享方案，请转而参阅 Microsoft Entra B2B。

阅读比较外部标识解决方案，详细了解将适当功能应用于外部标识方案的相关信息。

否，Azure AD B2C 不与 Microsoft Entra ID P1 或 P2 支持相同的报表集。 但是，有许多共性：

• 登录报告提供每次登录的记录以及简短的详细信息。
• 审核报告包括管理活动和应用程序活动。
• 使用情况报告包括用户数、登录次数和 MFA 次数。

可以，请参阅语言自定义。 我们提供 36 种语言的翻译版本，并且你可以根据需要替代任何字符串。

请按照以下步骤删除 Azure AD B2C 租户。

可以使用新的统一“应用注册”体验或遗留下来的“应用程序(旧版)”体验。 详细了解此新体验。

不，Azure AD B2C 是即用即付 Azure 服务，不是企业移动套件的一部分。

否，Azure AD B2C 租户不使用 Microsoft Entra ID P1 或 Microsoft Entra ID P2 许可。 Azure AD B2C 使用 Azure AD B2C Premium P1 或 P2 许可证，它们不同于标准 Microsoft Entra 租户的 Microsoft Entra ID P1 或 P2 许可证。 Azure AD B2C 租户本机支持一些与 Microsoft Entra ID P1 或 P2 功能类似的功能，如支持的 Microsoft Entra ID 功能中所述。

否，Azure AD B2C 租户不支持对 Microsoft Entra Enterprise Applications 使用基于组的分配。

在确定滚动刷新令牌的有效性时，B2C 还会考虑用户在应用程序中的初始登录时间，以计算令牌有效性偏离。 如果用户在很长一段时间内没有注销应用程序，则此偏离值将超过令牌的有效期，因此出于安全原因，令牌将被视为无效。 因此，出现了此错误。 通知用户执行正确的注销并重新登录应用程序，这应该会重置偏离。 如果刷新令牌滚动设置为无限滚动，则此场景不适用。

在 Azure AD B2C 中，如果 refreshTokensValidFromDateTime 与 refreshTokenIssuedTime 之间的时间差小于或等于 5 分钟，则刷新令牌仍被视为有效。 但是，如果 refreshTokenIssuedTime 大于 refreshTokensValidFromDateTime，则会撤消刷新令牌。 按照以下步骤检查刷新令牌是否有效或已吊销：

1. 通过兑换 authorization_code 检索 RefreshToken 和 AccessToken。

2. 等待 7 分钟。

3. 使用 Microsoft Graph PowerShell cmdlet Revoke-MgUserSignInSession 或 Microsoft Graph API invalidateAllRefreshTokens 运行 RevokeAllRefreshToken 命令。

4. 等待 10 分钟。

5. 再次检索 RefreshToken。

目前，Azure AD B2C 不支持针对此特定方案进行单一退出登录。 这是由 Cookie 争用引起的，因为所有应用程序同时在同一 Cookie 上运行。