Azure Active Directory B2C 服务限制和局限性
开始之前,请使用此页顶部的“选择策略类型”选择器来选择要设置的策略类型。 Azure Active Directory B2C 提供了两种定义用户如何与应用程序交互的方法:通过预定义的用户流,或者通过可完全配置的自定义策略。 对于每种方法,本文中所需的步骤都不同。
本文概述 Azure Active Directory B2C (Azure AD B2C) 服务的使用限制和其他服务限制。 这些限制通过有效管理威胁并确保高级别的服务质量来提供保护。
注意
要增加本文中所述的任何服务限制,请联系支持人员。
用户/消耗相关限制
通过请求限制来限制能够通过 Azure AD B2C 租户进行身份验证的用户数量。 下表说明了 Azure AD B2C 租户的请求限制。
类别 | 限制 |
---|---|
每个 Azure AD B2C 租户每个 IP 的最大请求数 | 6,000/5 分钟 |
每个 Azure AD B2C 租户的最大请求数 | 200/秒 |
终结点请求使用情况
Azure AD B2C 符合 OAuth 2.0、OpenID Connect (OIDC) 和 SAML 协议。 它提供了用户身份验证和单一登录 (SSO) 功能,以及下表中列出的终结点。
向 Azure AD B2C 终结点发出请求的频率决定了总体的令牌颁发功能。 Azure AD B2C 公开消耗不同数量的请求的终结点。 有关应用程序消耗哪些终结点的详细信息,请查看身份验证协议一文。
终结点 | 终结点类型 | 消耗的请求数 |
---|---|---|
/oauth2/v2.0/authorize | 动态 | 多种多样 1 |
/oauth2/v2.0/token | 静态 | 1 |
/openid/v2.0/userinfo | 静态 | 1 |
/.well-known/openid-config | 静态 | 1 |
/discovery/v2.0/keys | 静态 | 1 |
/oauth2/v2.0/logout | 静态 | 1 |
/samlp/sso/login | 动态 | 多种多样 1 |
/samlp/sso/logout | 静态 | 1 |
1用户流类型决定了使用这些终结点时消耗的请求总数。
1自定义策略的配置决定了使用这些终结点时消耗的请求总数。
令牌颁发率
每种类型的用户流都提供了独特的用户体验,并且消耗不同数量的请求。 用户流的令牌颁发率取决于静态和动态终结点所消耗的请求数。 下表显示了每个用户流在动态终结点上消耗的请求数。
用户流 | 消耗的请求数 |
---|---|
注册 | 6 |
登录 | 4 |
密码重置 | 4 |
配置文件编辑 | 4 |
电话注册和登录 | 6 |
在向用户流添加更多功能(如多重身份验证)时,会消耗更多的请求。 下表显示了当用户与这些功能之一进行交互时,会消耗多少额外的请求。
功能 | 消耗的额外请求数 |
---|---|
Microsoft Entra 多重身份验证 | 2 |
电子邮件一次性密码 | 2 |
年龄限制 | 2 |
联合标识提供者 | 2 |
若要获取用户流的每秒令牌颁发率:
- 使用上表添加在动态终结点消耗的请求总数。
- 根据应用程序类型,添加静态终结点上预期的请求数。
- 使用以下公式计算每秒的令牌颁发率。
Tokens/sec = 200/requests-consumed
自定义策略的令牌颁发率取决于静态和动态终结点所消耗的请求数。 下表显示了 Azure AD B2C 初用者包在动态终结点上消耗的请求数。
初用者包 | 方案 | 用户旅程 ID | 消耗的请求数 |
---|---|---|---|
LocalAccounts | 登录 | SignUpOrSignIn | 2 |
LocalAccounts SocialAndLocalAccounts | 注册 | SignUpOrSignIn | 6 |
LocalAccounts | 配置文件编辑 | ProfileEdit | 2 |
LocalAccounts SocialAndLocalAccounts SocialAndLocalAccountsWithMfa | 密码重置 | PasswordReset | 6 |
SocialAndLocalAccounts | 联合帐户登录 | SignUpOrSignIn | 4 |
SocialAndLocalAccounts | 联合帐户注册 | SignUpOrSignIn | 6 |
SocialAndLocalAccountsWithMfa | 使用 MFA 进行本地帐户登录 | SignUpOrSignIn | 6 |
SocialAndLocalAccountsWithMfa | 使用 MFA 进行本地帐户注册 | SignUpOrSignIn | 10 |
SocialAndLocalAccountsWithMfa | 使用 MFA 进行联合帐户登录 | SignUpOrSignIn | 8 |
SocialAndLocalAccountsWithMfa | 使用 MFA 进行联合帐户注册 | SignUpOrSignIn | 10 |
若要获取特定用户旅程的每秒令牌颁发率:
- 使用上表查找用户旅程消耗的请求数。
- 根据应用程序类型,添加静态终结点上预期的请求数。
- 使用以下公式计算每秒的令牌颁发率。
Tokens/sec = 200/requests-consumed
计算自定义策略的令牌颁发率
可以创建自己的自定义策略,为应用程序提供独特的身份验证体验。 在动态终结点消耗的请求数取决于用户通过自定义策略遍历的功能。 下表显示了自定义策略中每项功能消耗的请求数。
功能 | 消耗的请求数 |
---|---|
自断言技术配置文件 | 2 |
电话因素技术配置文件 | 4 |
电子邮件验证 (Verified.Email) | 2 |
显示控件 | 2 |
联合标识提供者 | 2 |
若要获取自定义策略的每秒令牌颁发率:
- 使用上表计算在动态终结点消耗的请求总数。
- 根据应用程序类型,添加静态终结点上预期的请求数。
- 使用以下公式计算每秒的令牌颁发率。
Tokens/sec = 200/requests-consumed
最佳实践
可以通过考虑以下配置选项来优化令牌颁发率:
- 增加访问和刷新令牌生存期。
- 增加 Azure AD B2C Web 会话生存期。
- 启用使我保持登录状态。
- 在 API 上缓存 OpenId Connect 元数据文档。
Azure AD B2C 配置限制
下表列出了 Azure AD B2C 服务中的管理配置限制。
类别 | 限制 |
---|---|
每个应用程序的作用域数 | 1000 |
每个用户的自定义属性数 1 | 100 |
每个应用程序的重定向 URL 数 | 100 |
每个应用程序的注销 URL 数 | 1 |
每个属性的字符串限制 | 250 个字符 |
每个订阅的 B2C 租户数 | 20 |
每个租户的对象总数(用户帐户和应用程序)(默认限制) | 125 万 |
每个租户的对象总数(用户帐户和应用程序)(使用已验证的自定义域) | 525 万 |
自定义策略中的继承级别 | 10 |
每个 Azure AD B2C 租户的策略数量(用户流 + 自定义策略) | 200 |
最大策略文件大小 | 1024 KB |
1 另请参阅 Microsoft Entra 服务限制和局限性。