Azure AD B2C 多租戶架構

Question

Microsoft Azure AD B2C 是否支持多租戶架構？ 下圖是我們的架構。 我創建了一個 Azure AD B2C 服務調用Tenant(Client)和一個指向我的訂閱帳戶的鏈接。 我已經在該租戶中注冊了 UI 和 API 應用程序。 然后我在租戶中以管理員身份創建了用戶。 管理員創建用戶來訪問我的應用程序。 我們計划實施 Azure AD B2C 的多租戶來訪問單個 Angular 應用程序（UI）。
例子：

我創建了一個 Azure AD B2C 服務調用TenantA(Client A)和一個指向我的訂閱帳戶的鏈接。 然后我在 TenantA 中以管理員身份創建了用戶。 管理員創建用戶來訪問我的應用程序。我已經注冊

我創建了一個 Azure AD B2C 服務調用TenantB(Client B)和一個指向我的訂閱帳戶的鏈接。 然后我在 TenantB 中以管理員身份創建了用戶。 管理員創建用戶來訪問我的應用程序。

Client A(Tenant A)和Client B(Tenant B)的多個租戶 用戶應訪問單個 UI 應用程序，並且應訪問單個 API 應用程序。

如何在UI和API應用程序中為兩個租戶注冊相同的配置？

Answer 1

根據您的要求，您可以通過將 Azure AD 單租戶應用程序啟用到多租戶應用程序並將端點設置為https://login.microsoftonline.com/common來實現此目的

這樣，就有了單一的應用程序注冊/UI/WebAPI，兩個租戶的用戶都可以訪問您的應用程序。

參考鏈接

如果您特別在尋找 Azure AD B2C 多租戶應用程序，您可以參考此鏈接

Answer 2

你不能，每個租戶 api scope 將是唯一的，因為它基於租戶 ID。

您可以將所有用戶放在同一個租戶中，或者使用支持多個令牌頒發者的庫。

或者，如果您確實需要身份隔離，您可以將單個 B2C“漏斗”租戶與多個客戶 B2C 租戶聯合，並使用家庭 realm 發現來路由傳入用戶的身份驗證流。 這種方法必須確保 email 在 scope 的所有租戶中是唯一的。 The funnel tenant would ask for the users email, use custom policy to call a REST API which would use Graph API to lookup the email in all the tenants. 一旦找到租戶，它就會告訴漏斗租戶將用戶重定向到哪個 B2C 聯盟以完成身份驗證。