Habilitación de dominios personalizados en Azure Active Directory B2C

Importante

A partir del 1 de mayo de 2025, Azure AD B2C ya no estará disponible para ser adquirido por nuevos clientes. Obtenga más información en nuestras preguntas más frecuentes.

Antes de empezar, use el selector Elegir un tipo de directiva en la parte superior de esta página para elegir el tipo de directiva que está configurando. Azure Active Directory B2C ofrece dos métodos para definir cómo interactúan los usuarios con las aplicaciones: a través de flujos de usuario predefinidos o mediante directivas personalizadas totalmente configurables. Los pasos necesarios en este artículo son diferentes para cada método.

En este artículo se describe cómo habilitar dominios personalizados en las direcciones URL de redireccionamiento para Azure Active Directory B2C (Azure AD B2C). El uso de un dominio personalizado comprobado tiene las siguientes ventajas:

• Proporciona una experiencia de usuario más fluida. Desde la perspectiva del usuario, permanecen en tu dominio durante el proceso de inicio de sesión en lugar de redirigirse al dominio predeterminado de Azure AD B2C <nombre-del-arrendatario>.b2clogin.com.

• Al permanecer en el mismo dominio para la aplicación durante el inicio de sesión, se mitiga el impacto del bloqueo de cookies de terceros.

• Puede aumentar el número de objetos (cuentas de usuario y aplicaciones) que puede crear en el inquilino de Azure AD B2C del valor predeterminado de 1,25 millones a 5,25 millones.

  

Introducción al dominio personalizado

Puede habilitar dominios personalizados para Azure AD B2C mediante Azure Front Door. Azure Front Door es un punto de entrada global que usa la red perimetral global de Microsoft para crear aplicaciones web rápidas, seguras y ampliamente escalables. Puede representar el contenido de Azure AD B2C detrás de Azure Front Door y, a continuación, configurar una opción en Azure Front Door para entregar el contenido a través de un dominio personalizado en la dirección URL de la aplicación.

Vea este vídeo para obtener información sobre el dominio personalizado de Azure AD B2C.

En el diagrama siguiente se muestra la integración de Azure Front Door:

1. En una aplicación, un usuario selecciona el botón de inicio de sesión, que los lleva a la página de inicio de sesión de Azure AD B2C. Esta página especifica un nombre de dominio personalizado.
2. El explorador web resuelve el nombre de dominio personalizado en la dirección IP de Azure Front Door. Durante la resolución DNS, un registro de nombre canónico (CNAME) con un nombre de dominio personalizado apunta al host de front-end predeterminado de Front Door (por ejemplo, contoso-frontend.azurefd.net).
3. El tráfico dirigido al dominio personalizado (por ejemplo, login.contoso.com) se enruta al host de front-end predeterminado de Front Door especificado (contoso-frontend.azurefd.net).
4. Azure Front Door invoca contenido de Azure AD B2C mediante el dominio predeterminado de Azure AD B2C <tenant-name>.b2clogin.com . La solicitud al punto de conexión de Azure AD B2C incluye el nombre de dominio personalizado original.
5. Azure AD B2C responde a la solicitud mostrando el contenido pertinente y el dominio personalizado original.

Importante

La conexión desde el explorador a Azure Front Door siempre debe usar IPv4 en lugar de IPv6.

Al usar dominios personalizados, tenga en cuenta lo siguiente:

• Puede configurar varios dominios personalizados. Para obtener el número máximo de dominios personalizados admitidos, consulte Límites y restricciones del servicio Microsoft Entra para Azure AD B2C y límites de suscripción y servicio de Azure, cuotas y restricciones para Azure Front Door.
• Azure Front Door es un servicio de Azure independiente, por lo que se incurre en cargos adicionales. Para más información, consulte Precios de Front Door.
• Si tiene varias aplicaciones, migre todas ellas al dominio personalizado porque el explorador almacena la sesión de Azure AD B2C en el nombre de dominio que se está usando actualmente.
• Después de configurar dominios personalizados, los usuarios seguirán pudiendo acceder al nombre de dominio predeterminado de Azure AD B2C tenant-name.b2clogin.com<>. Debe bloquear el acceso al dominio predeterminado para que los atacantes no puedan usarlo para acceder a las aplicaciones o ejecutar ataques de denegación de servicio distribuido (DDoS). Envíe un ticket de soporte para solicitar el bloqueo del acceso al dominio predeterminado.

Advertencia

No solicite el bloqueo del dominio predeterminado hasta que el dominio personalizado funcione correctamente.

Prerrequisitos

• Cree un flujo de usuario para que los usuarios se registren e inicien sesión en la aplicación.
• Registre una aplicación web.

• Siga los pasos de Introducción a las directivas personalizadas en Active Directory B2C. En este tutorial se explica cómo actualizar archivos de directiva personalizados para usar la configuración del inquilino de Azure AD B2C.
• Registre una aplicación web.

Paso 1: Adición de un nombre de dominio personalizado al inquilino de Azure AD B2C

Al crear una entidad de Azure AD B2C, se le asigna un nombre de dominio inicial, <domainname.onmicrosoft.com>. No puede cambiar ni eliminar el nombre de dominio inicial, pero puede agregar su propio dominio personalizado.

Siga estos pasos para agregar un dominio personalizado al inquilino de Azure AD B2C:

1. Agregue el nombre de dominio personalizado a Microsoft Entra ID.

   Importante

   Para estos pasos, asegúrese de iniciar sesión en el inquilino de Azure AD B2C y seleccione el servicio Microsoft Entra ID .

2. Agregue la información de DNS al registrador de dominios. Después de agregar el nombre de dominio personalizado a Microsoft Entra ID, cree un registro DNS TXT o MX para el dominio. La creación de este registro DNS para el dominio comprueba la propiedad del nombre de dominio.

   En los ejemplos siguientes se muestran registros TXT para login.contoso.com y account.contoso.com:

   Nombre (nombre de host)	Tipo	Datos
   Iniciar sesión	TXT	MS=ms12345678
   cuenta	TXT	MS=ms87654321

   El registro TXT debe estar asociado al subdominio o al nombre de host del dominio. Por ejemplo, la parte de inicio de sesión del dominio contoso.com. Si el nombre de host está vacío o @, el id. de Microsoft Entra no podrá comprobar el dominio personalizado que agregó. En los ejemplos siguientes, ambos registros se configuran incorrectamente.

   Nombre (nombre de host)	Tipo	Datos
   	TXT	MS=ms12345678
   @	TXT	MS=ms12345678

   Sugerencia

   Puede administrar su dominio personalizado con cualquier servicio DNS disponible públicamente, como GoDaddy. Si no tiene un servidor DNS, puede usar la zona DNS de Azure o los dominios de App Service.

3. Compruebe el nombre de su dominio personalizado. Compruebe cada subdominio o nombre de host que planee usar. Por ejemplo, para poder iniciar sesión con login.contoso.com y account.contoso.com, debe comprobar ambos subdominios y no solo el dominio de nivel superior contoso.com.

   Importante

   Una vez comprobado el dominio, elimine el registro TXT de DNS que creó.

Paso 2: Creación de una nueva instancia de Azure Front Door

Siga estos pasos para crear una instancia de Azure Front Door:

1. Inicie sesión en Azure Portal.

2. Para elegir el directorio que contiene la suscripción de Azure que desea usar para Azure Front Door y no el directorio que contiene el inquilino de Azure AD B2C, seleccione el icono Configuración del menú superior para cambiar al inquilino de Azure AD B2C desde el menú Directorios y suscripciones .

3. Siga los pasos descritos en Creación de un perfil de Front Door: Creación rápida para crear una instancia de Front Door para el inquilino de Azure AD B2C mediante la siguiente configuración:

   Clave	Importancia
   Suscripción	Seleccione su suscripción a Azure.
   Grupo de recursos	Seleccione un grupo de recursos existente, o bien cree uno.
   Nombre	Asigne un nombre al perfil como b2cazurefrontdoor.
   Categoría	Seleccione el nivel Estándar o Premium. El nivel estándar está optimizado para la entrega de contenido. El nivel Premium se basa en el nivel Estándar y se centra en la seguridad. Consulte el artículo en que se comparan los distintos niveles.
   Nombre del punto final	Escriba un nombre único global para el punto de conexión, como b2cazurefrontdoor. El nombre de host del punto de conexión se genera automáticamente.
   Tipo de origen	Seleccione Custom.
   Nombre de host de origen	Escribe <tenant-name>.b2clogin.com. Reemplace <tenant-name> por el nombre del inquilino de Azure AD B2C , como contoso.b2clogin.com.

   Deje vacíos los campos Almacenamiento en caché y Directiva WAF.

4. Una vez creado el recurso de Azure Front Door, seleccione Información general y copie el nombre de host del punto de conexión. Necesitarás esto más adelante. Tiene un aspecto similar a b2cazurefrontdoor-ab123e.z01.azurefd.net.

5. Asegúrese de que el Nombre de host y el Encabezado host del origen del origen tienen el mismo valor:

   1. En Configuración, seleccione Grupos de origen.
   2. Seleccione el grupo de origen de la lista, como default-origin-group.
   3. En el panel derecho, seleccione el nombre de host de origen , como contoso.b2clogin.com.
   4. En el panel Actualizar origen , actualice el nombre de host y el encabezado de host de origen para que tengan el mismo valor.

   

Paso 3: Configuración del dominio personalizado en Azure Front Door

En este paso, agregará el dominio personalizado que registró en el paso 1 a Azure Front Door.

3.1. Creación de un registro DNS de CNAME

Para agregar el dominio personalizado, cree un registro de nombre canónico (CNAME) con el proveedor de dominio. Un registro CNAME es un tipo de registro DNS que asigna un nombre de dominio de origen a un nombre de dominio de destino (alias). Para Azure Front Door, el nombre de dominio de origen es el nombre de dominio personalizado y el nombre de dominio de destino es el nombre de host predeterminado de Front Door que configuró en el paso 2. Cree una nueva instancia de Azure Front Door. Por ejemplo: b2cazurefrontdoor-ab123e.z01.azurefd.net.

Una vez que Front Door compruebe el registro CNAME que ha creado, el tráfico dirigido al dominio personalizado de origen (como login.contoso.com) se enruta al host del front-end predeterminado de Front Door del destino especificado, como contoso-frontend.azurefd.net. Para más información, consulte Incorporación de un dominio personalizado a Front Door.

Para crear un registro CNAME para un dominio personalizado:

1. Inicie sesión en el sitio web del proveedor de dominios de su dominio personalizado.

2. Para encontrar la página de administración de los registros DNS, consulte la documentación del proveedor o busque las áreas del sitio web con la etiqueta Nombre de dominio, DNS o Name Server Management (Administración del servidor de nombres).

3. Cree una entrada de registro CNAME para el dominio personalizado y complete los campos como se muestra en la tabla siguiente (los nombres de campo pueden variar):

   Fuente	Tipo	Destino
   <login.contoso.com>	CNAME	contoso-frontend.azurefd.net

   • Origen: escriba el nombre de dominio personalizado (por ejemplo, login.contoso.com).

   • Escriba: Escriba CNAME.

   • Destino: escriba el host de front-end predeterminado de Front Door que ha creado en el paso 2. Debe tener el siguiente formato: <nombre de host> .azurefd.net. Por ejemplo: contoso-frontend.azurefd.net.

4. Guarde los cambios.

3.2. Asociación del dominio personalizado a Front Door

1. En la página principal de Azure Portal, busque y seleccione el myb2cazurefrontdoor recurso de Azure Front Door para abrirlo.

2. En el menú de la izquierda, en Configuración, seleccione Dominios.

3. Seleccione Agregar un dominio.

4. En Administración de DNS, seleccione Todos los demás servicios DNS.

5. En Dominio personalizado, escriba el dominio personalizado, como login.contoso.com.

6. Mantenga los demás valores como valores predeterminados y, a continuación, seleccione Agregar. El dominio personalizado se agrega a la lista.

7. En Estado de validación del dominio que acaba de agregar, seleccione Pendiente. Se abre un panel con la información específica del registro TXT.

   1. Inicie sesión en el sitio web del proveedor de dominios de su dominio personalizado.

   2. Para encontrar la página de administración de los registros DNS, consulte la documentación del proveedor o busque las áreas del sitio web con la etiqueta Nombre de dominio, DNS o Name Server Management (Administración del servidor de nombres).

   3. Cree un nuevo registro DNS TXT y complete los campos como se muestra a continuación:

      1. Nombre: _dnsauth.login.contoso.com, pero solo tiene que escribir _dnsauth.
      2. Tipo: TXT
      3. Valor: algo parecido a 75abc123t48y2qrtsz2bvk.......

      Después de agregar el registro DNS TXT, el estado de validación en el recurso de Front Door cambiará finalmente de Pendiente a Aprobado. Es posible que tenga que volver a cargar la página para que se produzca el cambio.

8. Vuelva a Azure Portal. En la Asociación de extremos del dominio que acaba de agregar, seleccione No asociada.

9. En Seleccionar punto de conexión, seleccione el punto de conexión del nombre de host en la lista desplegable.

10. En La lista Seleccionar rutas , seleccione default-route y, a continuación, seleccione Asociar.

3.3. Habilitación de la ruta

La ruta predeterminada enruta el tráfico del cliente a Azure Front Door. A continuación, Azure Front Door usa la configuración para enviar el tráfico a Azure AD B2C. Siga estos pasos para habilitar la ruta predeterminada.

1. Seleccione Administrador de Front Door.

2. Para habilitar la ruta predeterminada, expanda primero un punto de conexión de la lista de puntos de conexión del administrador de Front Door. A continuación, seleccione la ruta predeterminada.

   En la captura de pantalla siguiente se muestra cómo seleccionar la ruta predeterminada.

   

3. Active la casilla Habilitar ruta .

4. Seleccione Actualizar para guardar los cambios.

Paso 4: Configurar CORS

Si usa una plantilla HTML personalizada para personalizar la interfaz de usuario de Azure AD B2C, debe configurar CORS con el dominio personalizado.

Configure Azure Blob Storage para uso compartido de recursos entre orígenes con los pasos siguientes:

1. En Azure Portal, vaya a la cuenta de almacenamiento.
2. En el menú, seleccione CORS.
3. En Orígenes permitidos, escriba https://your-domain-name. Reemplace your-domain-name por su nombre de dominio. Por ejemplo: https://login.contoso.com. Al escribir su nombre de inquilino, use solo minúsculas.
4. En Métodos permitidos, seleccione ambos GET y OPTIONS.
5. En Encabezados permitidos, escriba un asterisco (*).
6. En Encabezados expuestos, escriba un asterisco (*).
7. En Edad máxima, escriba 200.
8. Haga clic en Guardar.

Prueba de un dominio personalizado

1. Inicie sesión en Azure Portal.

2. Si tiene acceso a varios inquilinos, seleccione el icono Configuración en el menú superior para cambiar a su inquilino de Azure AD B2C desde el menú Directorios y suscripciones.

3. En Azure Portal, busque y seleccione Azure AD B2C.

4. En Directivas, seleccioneFlujos de usuario (directivas).

5. Seleccione un flujo de usuario y, a continuación, seleccione Ejecutar flujo de usuario.

6. En Aplicación, seleccione la aplicación web denominada webapp1 que registró anteriormente. La dirección URL de respuesta debe mostrar https://jwt.ms.

7. Copie la dirección URL de Ejecutar punto de conexión de flujo de usuario.

   

8. Para simular un inicio de sesión con el dominio personalizado, abra un explorador web y use la dirección URL que copió. Reemplace el dominio de Azure AD B2C (<tenant-name.b2clogin.com>) por el dominio personalizado.

   Por ejemplo, en lugar de:

   https://contoso.b2clogin.com/contoso.onmicrosoft.com/oauth2/v2.0/authorize?p=B2C_1_susi&client_id=00001111-aaaa-2222-bbbb-3333cccc4444&nonce=defaultNonce&redirect_uri=https%3A%2F%2Fjwt.ms&scope=openid&response_type=id_token&prompt=login
   

   utilice:

   https://login.contoso.com/contoso.onmicrosoft.com/oauth2/v2.0/authorize?p=B2C_1_susi&client_id=00001111-aaaa-2222-bbbb-3333cccc4444&nonce=defaultNonce&redirect_uri=https%3A%2F%2Fjwt.ms&scope=openid&response_type=id_token&prompt=login    
   

9. Compruebe que Azure AD B2C se ha cargado correctamente. A continuación, inicie sesión con una cuenta local.

10. Repita la prueba con el resto de las directivas.

Configuración del proveedor de identidades

Cuando un usuario decide iniciar sesión con un proveedor de identidades sociales, Azure AD B2C inicia una solicitud de autorización y lleva al usuario al proveedor de identidades seleccionado para completar el proceso de inicio de sesión. La solicitud de autorización especifica con redirect_uri el nombre de dominio predeterminado de Azure AD B2C:

https://<tenant-name>.b2clogin.com/<tenant-name>/oauth2/authresp

Si configuró la directiva para permitir el inicio de sesión con un proveedor de identidades externo, actualice los URI de redirección de OAuth con el dominio personalizado. La mayoría de los proveedores de identidades permiten registrar varios URI de redirección. Se recomienda agregar URI de redirección en lugar de reemplazarlos para que pueda probar la directiva personalizada sin afectar a las aplicaciones que usan el nombre de dominio predeterminado de Azure AD B2C.

En el siguiente URI de redirección:

https://<custom-domain-name>/<tenant-name>/oauth2/authresp

• Reemplace por <custom-domain-name> el nombre de dominio personalizado.
• Reemplace <tenant-name> por el nombre del inquilino o el identificador de inquilino.

En el ejemplo siguiente se muestra un URI de redirección de OAuth válido:

https://login.contoso.com/contoso.onmicrosoft.com/oauth2/authresp

Los metadatos de los proveedores de identidades de SAML tendrían el siguiente aspecto:

https://<custom-domain-name>.b2clogin.com/<tenant-name>/<your-policy>/samlp/metadata?idptp=<your-technical-profile>

Configuración de la aplicación

Después de configurar y probar el dominio personalizado, puede actualizar las aplicaciones para cargar la dirección URL que especifica el dominio personalizado como nombre de host en lugar del dominio de Azure AD B2C.

La integración de dominio personalizado se aplica a los puntos de conexión de autenticación que usan directivas de Azure AD B2C (flujos de usuario o directivas personalizadas) para autenticar a los usuarios. Estos puntos de conexión pueden tener un aspecto similar al ejemplo siguiente:

• https://<custom-domain>/<tenant-name>/<policy-name>/v2.0/.well-known/openid-configuration

• https://<custom-domain>/<tenant-name>/<policy-name>/oauth2/v2.0/authorize

• https://<custom-domain>/<tenant-name>/<policy-name>/oauth2/v2.0/token

Reemplazar:

• < custom-domain > con el dominio personalizado
• < tenant-name > con el nombre del inquilino o el identificador de inquilino
• < policy-name > con el nombre de directiva.

Los metadatos del proveedor de servicios SAML pueden tener el siguiente aspecto:

https://custom-domain-name/tenant-name/policy-name/Samlp/metadata

(Opcional) Uso del identificador de inquilino

Puede reemplazar el nombre de su inquilino B2C en la dirección URL por su GUID de id. de inquilino para eliminar todas las referencias a "b2c" en la dirección URL. Puede encontrar el GUID del id. de inquilino en la página Información general de B2C en Azure Portal. Por ejemplo, cambie https://account.contosobank.co.uk/contosobank.onmicrosoft.com/ a https://account.contosobank.co.uk/<tenant ID GUID>/.

Si decide usar el identificador de inquilino en lugar del nombre del inquilino, asegúrese de actualizar los URI de redirección de OAuth del proveedor de identidades según corresponda. Al usar el identificador de inquilino en lugar del nombre del inquilino, un URI de redirección de OAuth válido tendría el siguiente aspecto:

https://login.contoso.com/11111111-1111-1111-1111-111111111111/oauth2/authresp

Para obtener más información, consulte Configuración del proveedor de identidades.

Emisión de tokens

La notificación del nombre del emisor del token (ISS) cambia en función del dominio personalizado que se utiliza. Por ejemplo:

https://<domain-name>/11111111-1111-1111-1111-111111111111/v2.0/

(Opcional) Configuración avanzada de Azure Front Door

Puede usar la configuración avanzada de Azure Front Door, como Azure Web Application Firewall (WAF). Azure WAF proporciona protección centralizada a tus aplicaciones web contra exploits y vulnerabilidades comunes.

Al usar dominios personalizados, tenga en cuenta los siguientes puntos:

• La directiva WAF debe ser el mismo nivel que el perfil de Azure Front Door. Para más información sobre cómo crear una directiva de WAF para usarla con Azure Front Door, consulte Configuración de la directiva de WAF.
• La función de reglas administradas de WAF no está oficialmente soportada, puesto que puede provocar falsos positivos y evitar que las solicitudes legítimas pasen a través, por lo que use únicamente reglas personalizadas de WAF si satisfacen sus necesidades.

Solución de problemas

Azure AD B2C devuelve un error de página no encontrada

• Síntoma : configura un dominio personalizado, pero al intentar iniciar sesión con el dominio personalizado, recibirá un mensaje de error HTTP 404.
• Causas posibles : este problema podría estar relacionado con la configuración de DNS o la configuración de back-end de Azure Front Door.
• Solución:
  • Asegúrese de que el dominio personalizado está registrado y comprobado correctamente en el inquilino de Azure AD B2C.
  • Asegúrese de que el dominio personalizado está configurado correctamente. El CNAME registro del dominio personalizado debe apuntar al host de front-end predeterminado de Azure Front Door (por ejemplo, contoso-frontend.azurefd.net).

Nuestros servicios no están disponibles en este momento

• Síntoma : configura un dominio personalizado, pero al intentar iniciar sesión con el dominio personalizado, recibe el siguiente mensaje de error: Nuestros servicios no están disponibles en este momento. Estamos trabajando para restaurar todos los servicios lo antes posible. Por favor, vuelva pronto.

• Causas posibles : este problema podría estar relacionado con la configuración de ruta de Azure Front Door.

• Resolución: compruebe el estado de la ruta predeterminada. Si está deshabilitado, habilita la ruta. En la captura de pantalla siguiente se muestra el aspecto de la ruta predeterminada:

  

Azure AD B2C devuelve que el recurso que usted busca se ha eliminado, ha cambiado de nombre o no está disponible temporalmente.

• Síntoma - Se configura un dominio personalizado, pero al intentar iniciar sesión con el dominio personalizado, se obtiene un mensaje de error que indica que el recurso que busca ha sido eliminado, ha cambiado de nombre o está temporalmente no disponible.
• Causas posibles : este problema podría estar relacionado con la comprobación del dominio personalizado de Microsoft Entra.
• Solución: asegúrese de que el dominio personalizado está registrado y comprobado correctamente en el inquilino de Azure AD B2C.

El proveedor de identidades devuelve un error

• Síntoma : después de configurar un dominio personalizado, puede iniciar sesión con cuentas locales. Pero al iniciar sesión con credenciales de proveedores de identidades sociales o empresariales externos, el proveedor de identidades presenta un mensaje de error.
• Causas posibles : cuando Azure AD B2C lleva al usuario a iniciar sesión con un proveedor de identidades federado, especifica el URI de redirección. El URI de redirección es el punto de conexión al que el proveedor de identidades devuelve el token. El URI de redirección es el mismo dominio que usa la aplicación con la solicitud de autorización. Si el URI de redirección aún no está registrado en el proveedor de identidades, es posible que no confíe en el nuevo URI de redirección, lo que produce un mensaje de error.
• Resolución : siga los pasos descritos en Configuración del proveedor de identidades para agregar el nuevo URI de redirección.

Preguntas más frecuentes

Cuando uso Ejecutar ahora para intentar ejecutar mi directiva, ¿por qué no puedo ver el dominio personalizado?

Copie la dirección URL, cambie el nombre de dominio manualmente y péguelo de nuevo en el explorador.

¿Qué dirección IP se presenta a Azure AD B2C? ¿La dirección IP del usuario o la dirección IP de Azure Front Door?

Azure Front Door pasa la dirección IP original del usuario. Es la dirección IP que se ve en los informes de auditoría o en su directiva personalizada.

Importante

Si el cliente envía un encabezado x-forwarded-for a Azure Front Door, Azure AD B2C utiliza la del originador x-forwarded-for como dirección IP del usuario para la Evaluación de acceso condicional y el {Context:IPAddress}resolver reclamaciones.

¿Puedo usar un firewall de aplicaciones web (WAF) de terceros con B2C?

Sí, Azure AD B2C admite BYO-WAF (Bring Your Own Web Application Firewall). Sin embargo, debe probar el WAF para asegurarse de que no bloquea ni emite alertas sobre solicitudes legítimas en los flujos de usuario de Azure AD B2C o en las directivas personalizadas. Aprenda a configurar Akamai WAF y Cloudflare WAF con Azure AD B2C.

¿Puede hospedarse mi instancia Azure Front Door en una suscripción diferente a la de mi inquilino Azure AD B2C?

Sí, Azure Front Door puede estar en otra suscripción.

Contenido relacionado

• Obtenga información sobre las solicitudes de autorización de OAuth.
• Obtenga información sobre las solicitudes de autorización de OpenID Connect.
• Obtenga información sobre el flujo de código de autorización.