Azure AD B2C多租户架构

Question

Microsoft Azure AD B2C是否支持多租户体系结构？ 下图是我们的架构。我已创建一个Azure AD B2C服务调用Tenant(Client)和指向我的订阅帐户的链接。我已经在该租户中注册了UI和API应用程序。然后，我在Tenant中以admin身份创建了该用户。管理员创建用户以访问我的应用程序。我们计划实现Azure AD B2C的多租户来访问单个Angular Application（UI）。
示例：

我已经创建了一个Azure AD B2C服务调用TenantA(Client A)以及指向我的订阅帐户的链接。然后，我在TenantA中以管理员身份创建了该用户。管理员创建用户以访问我的应用程序。我已经注册

我已经创建了一个Azure AD B2C服务调用TenantB(Client B)以及指向我的订阅帐户的链接。然后，我在TenantB中以管理员身份创建了该用户。管理员创建用户以访问我的应用程序。

Client A(Tenant A)和Client B(Tenant B)的多个租户用户应该访问一个UI应用程序，并且应该访问一个API应用程序。

如何在 UI 和 API 应用程序中为两个租户注册相同 配置？

Answer 1

根据您的要求，您可以通过将Azure AD单租户应用程序启用为多租户应用程序并将端点设置为https://login.microsoftonline.com/common

来实现此目的。

通过这种方式，只有一个应用程序注册/ UI / WebAPI，并且两个租户的用户都可以访问您的应用程序。

参考link

如果您特别在寻找Azure AD B2C多租户应用程序，则可以参考此link

Answer 2

您不能，每个租户api范围都是唯一的，因为它基于租户ID。

您可以将所有用户置于同一租户中，或使用支持多个令牌发行者的库。

或者，如果您真的需要隔离身份，则可以将单个B2C“渠道”租户与多个客户B2C租户联合起来，并使用家庭领域发现来为传入用户路由身份验证流。这种方法必须确保电子邮件在范围内的所有租户中都是唯一的。渠道租户将向用户索要电子邮件，使用自定义策略来调用REST API，REST API将使用Graph API在所有租户中查找电子邮件。找到租户后，它会告诉渠道租户哪个B2C联盟将用户重定向到完成身份验证的位置。