问题标签 [azure-ad-b2b]

如何在 Azure Active Directory 上创建邀请策略并使用它在 Web 应用程序中向用户发送企业对企业 (B2B) 和企业对消费者 (B2C) 的邀请？我使用 Azure AD B2B 的邀请 API 发送邀请，但在 Azure AD B2C 中使用时无法发送。

是否可以针对来自同一租户的多个“客户端 ID”对用户令牌进行身份验证？这是对客户端 ID 使用相同“ValidAudience”的配置。

尝试为任何其他域创建来宾用户时，我们会收到带有“无法邀请用户”消息的空错误详细信息。@live.com、@gmail.com、@hotmail.com 和其他自定义域会发生这种情况。访客邀请者和全局管理员用户都这样做时会发生这种情况。

我正在构建一个门户，它将对各种 Angular 2 SPA 应用程序进行分组。我需要在门户网站上登录一次。登录后，所有 Angular 2 应用程序都应在新选项卡中使用已登录的用户上下文。

我正在使用 Angular 2 + Oauth 2 和 Azure AD B2B。

如何在两个 Angular 2 应用程序之间共享用户的上下文。

我们有几个 asp.net 应用程序，每个都有自己的用户表和数据库。每个应用程序都有自己的登录/重置密码等。我们的用户来自不同的公司，因此用户是该公司的员工。

现在我们想使用一个中央身份提供者并让它完成所有的身份验证和授权工作。

我们可以使用 Azure AD/Azure AD B2B/Azure AD B2C 来实现我们的目标吗？

我们有来自这些公司的数千名用户，其中大多数没有自己的广告或 Azure 广告。我们需要从我们自己的用户表中将现有用户批量迁移到 Azure AD（如果使用 b2c，则向他们发送邀请）。

我的应用程序已注册tenant A并需要Microsoft Graph许可Invite guest users to the organization。该应用程序是一个没有 GUI 的 API 应用程序。

要授予应用程序Graph访问权限，Tenant A请执行以下操作：
1. 转到https://login.windows.net/common/oauth2/authorize?response_type=code&client_id= <My application ID>&prompt=admin_consent
2. 使用管理员凭据登录tenant A

完成 - 我Service Principal现在tenant A有Invite guest users to the organization权限

到目前为止，一切都很好。现在我想授予相同的应用程序访问权限以邀请来宾用户tenant B。我怎么做？

我尝试过与以前相同的流程：
1. 转到https://login.windows.net/common/oauth2/authorize?response_type=code&client_id= <My application ID>&prompt=admin_consent
2. 使用管理员凭据登录tenant B

这会导致以下错误消息：

AADSTS50020：来自身份提供商“yyy.com”的用户帐户“xxx@yyy.com”在租户“租户 A”中不存在，并且无法访问该租户中的应用程序“xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx”。需要先将该帐户添加为租户中的外部用户。注销并使用不同的 Azure Active Directory 用户帐户重新登录。

即使我使用Tenant A管理员凭据从Tenant B.

如何为应用程序提供所需的权限Tenant B？是否可以将管理员同意流程与Service Principal IDfromTenant B而不是全局Application ID一起用于我的应用程序？

我需要根据用户目录（即 B2C 或 B2B 目录）重定向到 Azure 登录页面。我创建了基于 Azure 入门包的自定义策略。当我在 B2C 中使用查询参数 login_hint 执行自定义策略 URL 时，它不会填充到用户名文本框中。对于 B2C 登录，我自定义了登录屏幕。

现在，当我重定向到 B2B 登录屏幕并添加相同的参数时，用户名将填充在登录屏幕中。

现在的问题是 1. B2C 没有填充用户名文本框。是因为自定义登录用户界面吗？2. 如何将B2C 的login_hint 传递给B2B 的登录URL。我正在使用 domain_hint 将用户直接重定向到 B2B 登录屏幕。但它不会将 login_hint 传递给 B2B 登录屏幕。我是否需要在自定义策略文件中添加或更改？

我需要查看访客用户是否已兑换邀请。当我从 Graph API 获取用户详细信息时，返回的用户没有此类信息。

但是在 Azure 门户中，当用户兑换邀请时，我可以看到身份部分下的源属性已更改为 Microsoft 帐户或来自“受邀用户”的类似内容。

我正在尝试邀请 Azure B2B 活动目录中的用户。我无法找到使用 Client SDK 的方法。

有没有办法做到这一点？

提前感谢您的帮助。:)

我有一个基于 Angular5 构建的 Azure 网站，受 Azure AD 保护以进行身份​​验证。API 层是作为 Azure 函数应用开发的，也经过 Azure AD 的身份验证。现在，我希望这个网站可供我组织中的所有用户使用，并且不允许在租户中注册的任何来宾用户访问该网站和 API。我在这里有什么选择？

目前，即使是访客帐户也可以访问应用程序和 API。

在此处更新 完整解决方案并附上屏幕截图。