Azure AD B2C：常见问题 (FAQ)

我们宣布了下一代 Microsoft Entra 外部 ID 解决方案的早期预览版。 此早期预览版代表了在单一集成平台中统一所有外部标识（包括合作伙伴、客户、公民、患者等）的安全且有吸引力的体验的演变步骤。 有关预览版的详细信息，请参阅什么是面向客户的 Microsoft Entra 外部 ID？。

你目前无需执行任何操作。 下一代平台目前仅提供早期预览版。 我们始终致力于支持你当前的 Azure AD B2C 解决方案。 目前不要求 Azure AD B2C 客户迁移，也没有计划停止当前的 Azure AD B2C 服务。 随着下一代平台即将正式发布，我们将向所有宝贵的 B2C 客户提供有关可用选项的详细信息，包括迁移到新平台的选项。

由于下一代平台代表了我们的客户标识和访问管理 (CIAM) 的未来，因此我们欢迎并鼓励你参与早期预览并提出反馈。 如果你有兴趣加入早期预览版，请与销售团队联系以了解详细信息。

Microsoft Entra 扩展无法为你工作有两个常见原因。 Azure AD B2C 要求你在目录中具备全局管理员的用户角色。 如果你认为应具有访问权限，请与管理员联系。 如果你拥有全局管理员权限，请确保你位于 Azure AD B2C 目录（而不是 Microsoft Entra 目录）中。 可以查看有关创建 Azure AD B2C 租户的说明。

Microsoft Entra ID 和 Azure AD B2C 是单独的产品/服务。 要使用 Azure AD B2C 功能，请创建一个独立于现有的基于员工的 Microsoft Entra 租户的 Azure AD B2C 租户。 一个 Microsoft Entra 租户代表一个组织。 Azure AD B2C 租户表示信赖方应用使用的标识集合。 通过在“Azure AD B2C > 标识提供者”下添加“新的 OpenID Connect 提供程序”，或者通过使用自定义策略，Azure AD B2C 可以与 Microsoft Entra ID 联合，以便对组织中的员工进行身份验证。

Azure AD B2C 不用于 Microsoft 365 用户的身份验证。 Microsoft Entra ID 是 Microsoft 针对管理员工对 SaaS 应用程序的访问权限的解决方案，它具有为此目的而设计的许可和条件访问等功能。 Azure AD B2C 提供用于生成 Web 和移动应用程序的标识和访问管理平台。 当 Azure AD B2C 配置为联合 Microsoft Entra 租户时，Microsoft Entra 租户将管理员工对依赖 Azure AD B2C 的应用程序的访问权限。

在 Microsoft Entra 租户中，属于该租户的用户使用 <xyz>@<tenant domain> 形式的电子邮件地址登录。 <tenant domain> 是租户中已验证域之一或初始的 <...>.onmicrosoft.com 域。 此类型的帐户是工作或学校帐户。

在 Azure AD B2C 租户中，大多数应用都希望用户使用任意电子邮件地址（例如 joe@comcast.net、bob@gmail.com、sarah@contoso.com 或 jim@live.com）登录。 此类型的帐户是本地帐户。 我们还支持任意用户名作为本地帐户（例如，joe、bob、sarah 或 jim）。 在 Azure 门户中配置 Azure AD B2C 的标识提供者时，可以选择这两种本地帐户类型中的一种。 在 Azure AD B2C 租户中，依次选择“标识提供者”、“本地帐户”和“用户名”。

可以通过注册用户流、注册或登录用户流、Microsoft Graph API 或 Azure 门户来创建应用程序的用户帐户。

• 默认情况下，每个租户总共可以容纳 125 万个对象（用户帐户和应用程序），但在添加和验证自定义域时，可以将此上限提高到 525 万个对象。 如果想要提高此上限，请联系 Microsoft 支持部门。 但是，如果在 2022 年 9 月之前创建了你的租户，此限制则不会影响你，并且你的租户将保留创建时分配给它的大小，即 5000 万个对象。

目前，我们支持多个社交标识提供者，包括 Amazon、Facebook、GitHub（预览版）、Google、LinkedIn、Microsoft 帐户 (MSA)、QQ（预览版）、Twitter、微信（预览版）和微博（预览版）。 我们会根据客户需求来评估是否增加对其他常见社交标识提供者的支持。

Azure AD B2C 还支持自定义策略。 自定义策略允许你为支持 OpenID Connect 或 SAML 的任何标识提供者创建自己的策略。 查看我们的自定义策略初学者包，开始使用自定义策略。

不是。 一组受支持的社交标识提供者使用的默认范围是：

• Facebook：电子邮件
• Google+：电子邮件
• Microsoft 帐户：openid 电子邮件配置文件
• Amazon：配置文件
• LinkedIn：r_emailaddress、r_basicprofile

在 ADFS 服务器上，运行：Set-AdfsProperties -SignedSamlRequestsRequired $true。 这将强制 Azure AD B2C 对所有对 ADFS 的请求进行签名。

不，可以在任何位置（在云中或本地）托管应用程序。 只要能在公共可访问的端点上发送和接收 HTTP 请求，它就可以与 Azure AD B2C 进行交互。

在 Azure 门户中打开 Azure AD B2C 服务之前，必须切换到要管理的目录。 选择顶部菜单中的“设置”图标，以便从“目录 + 订阅”菜单切换到要管理的目录。

你可能没有创建 Azure AD B2C 租户的权限。 只有具有全局管理员或租户创建者角色的用户才能创建租户。 你需要联系全局管理员。

可以使用公司品牌功能来自定义验证电子邮件的内容。 具体来说，可以自定义电子邮件的下列两个元素：

• 横幅徽标：显示在右下角。

• 背景色：显示在顶部。

  

电子邮件签名包含首次创建 Azure AD B2C 租户时提供的 Azure AD B2C 租户名称。 可以使用以下说明更改名称：

1. 以全局管理员身份登录到 Azure 门户。
2. 打开“Microsoft Entra ID”边栏选项卡。
3. 选择“属性”选项卡。
4. 更改“名称”字段。
5. 在页面顶部选择“保存”。

目前不能更改电子邮件的“发件人:”字段。

可以使用 Microsoft Graph API 编写迁移工具。 有关详细信息，请参阅用户迁移指南。

本地帐户的 Azure AD B2C 密码用户流以 Microsoft Entra ID 的策略为基础。 Azure AD B2C 的注册、注册或登录和密码重置用户流使用“强”密码强度，并且不会让任何密码过期。 有关详细信息，请参阅 Microsoft Entra ID 中的密码策略和限制。

有关帐户锁定和密码的信息，请参阅缓解 Azure AD B2C 中的凭据攻击。

否，Microsoft Entra Connect 并不适用于 Azure AD B2C。 请考虑使用 Microsoft Graph API 进行用户迁移。 有关详细信息，请参阅用户迁移指南。

此功能目前以公共预览版提供。 有关详细信息，请参阅嵌入式登录体验。

与 Microsoft Dynamics 365 门户的集成可用。 请参阅配置 Dynamics 365 门户以使用 Azure AD B2C 进行身份验证。

Azure AD B2C 不适用于 SharePoint 外部合作伙伴共享方案，请转而参阅 Microsoft Entra B2B。

阅读比较外部标识解决方案，详细了解将适当功能应用于外部标识方案的相关信息。

否，Azure AD B2C 不与 Microsoft Entra ID P1 或 P2 支持相同的报表集。 但是，有许多共性：

• 登录报告提供每次登录的记录以及简短的详细信息。
• 审核报告包括管理活动和应用程序活动。
• 使用情况报告包括用户数、登录次数和 MFA 次数。

是的。 最终用户需要下载任何支持 TOTP 验证的验证器应用，例如 Microsoft Authenticator 应用（建议）。 有关详细信息，请参阅验证方法。

如果 TOTP 验证器应用代码无法用于 Android 或 iPhone 移动电话或设备，则该设备的时钟时间可能不正确。 在设备的设置中，选择使用网络提供的时间或自动设置时间的选项。

创建 Azure AD B2C 租户时，如果 Go-Local 加载项在你的国家/地区可用，系统会要求你在需要时启用它。

否。启用 Go-Local 加载项时，每月 50,000 个免费 MAU 并不适用。 Go-Local 加载项会从第一个 MAU 开始产生费用。 但是，对于 Azure AD B2C Premium P1 或 P2 定价提供的其他功能，你将继续享受每月 50,000 个免费的 MAU。

按照激活 Go-Local 加载项中的步骤激活 Azure AD B2C Go-Local 加载项。

可以，请参阅语言自定义。 我们提供 36 种语言的翻译版本，并且你可以根据需要替代任何字符串。

可以，你可以使用自己的域。 有关详细信息，请参阅 Azure AD B2C 自定义域。

请按照以下步骤删除 Azure AD B2C 租户。

可以使用新的统一“应用注册”体验或遗留下来的“应用程序(旧版)”体验。 详细了解此新体验。

不，Azure AD B2C 是即用即付 Azure 服务，不是企业移动套件的一部分。

否，Azure AD B2C 租户不使用 Microsoft Entra ID P1 或 Microsoft Entra ID P2 许可。 Azure AD B2C 使用 Azure AD B2C Premium P1 或 P2 许可证，它们不同于标准 Microsoft Entra 租户的 Microsoft Entra ID P1 或 P2 许可证。 Azure AD B2C 租户本机支持一些与 Microsoft Entra ID P1 或 P2 功能类似的功能，如支持的 Microsoft Entra ID 功能中所述。

否，Azure AD B2C 租户不支持对 Microsoft Entra Enterprise Applications 使用基于组的分配。

Microsoft Azure AD 政府中目前无法使用以下 AD B2C 功能：

• API 连接器
• 条件性访问

在 Azure AD B2C 中，如果 refreshTokensValidFromDateTime 与 refreshTokenIssuedTime 之间的时间差小于或等于 5 分钟，则刷新令牌仍被视为有效。 但是，如果 refreshTokenIssuedTime 大于 refreshTokensValidFromDateTime，则会撤消刷新令牌。 按照以下步骤检查刷新令牌是否有效或已吊销：

1. 通过兑换 authorization_code 检索 RefreshToken 和 AccessToken。

2. 等待 7 分钟。

3. 使用 Microsoft Graph PowerShell cmdlet Revoke-MgUserSignInSession 或 Microsoft Graph API invalidateAllRefreshTokens 运行 RevokeAllRefreshToken 命令。

4. 等待 10 分钟。

5. 再次检索 RefreshToken。

目前，Azure AD B2C 不支持针对此特定方案进行单一退出登录。 这是由 Cookie 争用引起的，因为所有应用程序同时在同一 Cookie 上运行。

请参阅提出针对 Azure Active Directory B2C 的支持请求。

目前，Azure AD B2C 不支持从 Azure 门户撤销用户会话。 但是，可以使用 Microsoft Graph PowerShell 或 Microsoft Graph API 来完成此任务。