当 SP 重定向到 Azure B2C 时包括与 Azure AD 的联合

Question

我已将 Azure B2C 设置为使用 SAML 2.0 进行联合的应用程序的 IdP。目前，用户旅程将用户带到登录页面，他们可以在其中使用 B2C 本地帐户登录。问题是我在 B2C 租户中也有联合用户，这些用户在 B2C 中当然没有密码。

当服务提供商将用户重定向到 B2C (IdP) 进行身份验证时，是否可以在登录页面上为 Azure AD（或任何社交 IdP）提供一个 ClaimsProviderSelection（按钮），以便用户可以使用联合 Azure AD 帐户或社交提供商帐户而不只是 B2C 本地帐户进行身份验证？我的想法是这个“双联”不是possible/supported.

我有哪些选择？

Answer 1

我想我误解了这个问题，但是如果您只是添加社交提供商 and/or AAD，并为这些提供商配置您的用户旅程，它们将显示为可选择的 IdP？看这里 - https://docs.microsoft.com/en-us/azure/active-directory-b2c/tutorial-add-identity-providers

除非你的意思是'account linking'，这是完全支持的。参见 https://github.com/Azure-Samples/active-directory-b2c-advanced-policies/tree/master/account-linking。

Answer 2

我遇到的问题是弄清楚如何 link 我创建的使用 Azure Ad 作为 Idp 登录的策略与我为 SAML 创建的另一个策略。

我能够通过使用 Azure AD 联合创建自定义策略注册登录用户流程（称为 SignUpOrSignInPolicyA）来解决这个问题（我最初只使用内置登录和注册流程与 Azure AD IdP）。然后在使用 SAML 的注册登录用户流程的自定义策略（称为 SignUpOrSignInPolicyB）中，我添加了以前策略中的用户旅程，并在依赖方标签中引用了它。像这样：

<UserJourneys>
   <UserJourney Id="SignUpOrSignInPolicyA">
   ...

   </UserJourney>
<UserJourneys>

<RelyingParty>
    <DefaultUserJourney ReferenceId=SignupSigninPolicyA/>
    ...
<RelyingParty>

因此，在从 SAML 应用程序重定向到 B2C 进行身份验证后，我现在可以使用 Azure AD 联合，而不仅仅是本地帐户。

当 SP 重定向到 Azure B2C 时包括与 Azure AD 的联合

Include Federation with Azure AD when SP redirects to Azure B2C

azure

openid

openid-connect

saml

azure-ad-b2c