Table of Contents

Entendendo a Federação de Identidade: Por que Azure AD B2B e B2C importa

As organizações modernas operam em um ecossistema híbrido onde funcionários, parceiros e clientes exigem acesso seguro a aplicativos e dados. A Federação de Identidade é o padrão arquitetônico que permite aos usuários de diferentes domínios de identidade autenticar usando suas credenciais existentes, eliminando a necessidade de contas duplicadas e reduzindo a fadiga de senhas. O Microsoft Azure Active Directory oferece dois serviços criados para a federação: Azure AD B2B[]] para colaboração de negócios para negócios e Azure AD B2C[] para gerenciamento de identidade voltado para o cliente. Embora ambos resolvam a federação de identidade, eles visam casos de uso fundamentalmente diferentes e exigem estratégias de implementação distintas. Este artigo fornece um guia abrangente e pronto para a produção para implementar a federação de identidade com o Azure AD B2B e o B2C, cobrindo arquitetura, configuração passo a passo, design de políticas, endurecimento de segurança e melhores práticas do mundo real.

O que é Azure AD B2B e B2C? Uma comparação detalhada

Azure AD B2B (Empresários/Empresários)

O Azure AD B2B permite que as organizações convidem usuários externos – como fornecedores, parceiros ou contratantes – para o seu inquilino Azure AD. Esses usuários convidados autenticam-se com seu próprio provedor de identidade (por exemplo, Azure AD, Google ou Federação SAML/WS-Fed) e obtêm acesso a aplicativos compartilhados, canais de equipes, sites SharePoint e muito mais. As principais características incluem:

  • Existindo Utilização de Identidade: Os hóspedes usam as suas próprias credenciais corporativas, reduzindo a sobrecarga de gestão de senhas.
  • Integração Direta: Não há necessidade de fornecer contas separadas; convites criam objetos de usuário B2B.
  • Federation de um clique: Suporta sincronização de cross-teant com inquilinos Azure AD parceiros.
  • Compliance Ready: Os administradores mantêm o controle sobre permissões de convidados, acesso condicional e políticas de expiração.

Azure AD B2C (Empresário-a-Consumidor)

Azure AD B2C é um serviço de gestão de identidade e acesso ao cliente (CIAM) para aplicações voltadas para o consumidor. Ele suporta federação com provedores de identidade social (por exemplo, Facebook, Google, conta Microsoft, Apple, GitHub) e provedores de identidade corporativa (por exemplo, SAML ou diretórios corporativos OIDC). B2C é projetado para lidar com milhões de usuários e ofertas:

  • Login Social: Os usuários podem entrar com contas sociais existentes, melhorando as taxas de conversão.
  • Branding personalizado: Controle total sobre telas de login e assinatura, incluindo personalização HTML/CSS/JavaScript.
  • Fluxos de usuários e políticas personalizadas: Registro multi-passo, redefinição de senhas, edição de perfil e coleção de atributos.
  • Tenant Isolation: Cada aplicativo do cliente recebe seu próprio inquilino B2C, garantindo a separação lógica.

Quando usar B2B vs B2C

A decisão depende do tipo de utilizador: B2B para identidades de empresas externas (parceiros, empregados de outras empresas) e B2C[] para consumidores finais (clientes de retalho, utilizadores de aplicações).Existem também cenários híbridos – por exemplo, uma aplicação que sirva parceiros e consumidores pode exigir uma combinação adequada de ambos os serviços com uma porta de entrada para autenticação de rota.

Benefícios de usar Azure AD para a Federação de Identidade

Sinal único em todos os ecossistemas

Federation with Azure AD habilita single sign-on (SSO) em todas as aplicações integradas, sejam elas ferramentas SaaS (Salesforce, ServiceNow, Office 365) ou aplicativos personalizados de linha de negócios. Os usuários autenticam uma vez e acessam vários recursos sem entrar em credenciais. Isso melhora drasticamente a produtividade e reduz tickets de suporte relacionados a senhas esquecidas.

Endurecimento de segurança através da autenticação multi-fator

O Azure AD suporta políticas de acesso condicional que podem impor a autenticação multifatorial (MFA) para usuários federados com base em sinais de risco, localização, estado do dispositivo ou sensibilidade do aplicativo. Para os hóspedes do B2B, o MFA pode ser necessário no nível de inquilino de recursos, enquanto para clientes do B2C, o MFA pode ser adaptado com base no valor da transação (por exemplo, redefinição de senhas vs. compra de alto valor).

Gestão de Senhas Reduzida

Ao federar identidades, organizações descarregam gerenciamento credencial para provedores de identidade externa. Convidados B2B lidam com suas próprias políticas de senha, reduzindo o peso administrativo sobre a TI. Para B2C, os usuários podem redefinir suas senhas através de fluxos de autoatendimento, eliminando a necessidade de intervenção de mesa de ajuda.

Flexibilidade e interoperabilidade

O Azure AD suporta ] protocolos de federação padrão de indústria incluindo SAML 2.0, WS-Federation, OpenID Connect e OAuth 2.0. Isto permite a integração com praticamente qualquer provedor de identidade, desde os serviços de Federação Active Directory (AD FS) até as plataformas modernas de identidade social.

Experiências personalizáveis do Usuário

Os convites de convidados B2B podem incluir modelos de email com marca e URLs de resgate personalizadas. Os fluxos de usuários B2C permitem o controle perfeito de pixels sobre cada tela de autenticação, incluindo logotipo, imagens de fundo e interações orientadas pelo JavaScript.

Federação de Execução com Azure AD B2B

Passo 1: Configurar as Configurações de Colaboração Externa

Comece navegando para o portal azul > Diretório ativo azul[ > Identidades externas > Configurações de colaboração externa[[. Aqui, defina as suas políticas de convites convidados:

  • Definir o nível de acesso do utilizador (por exemplo, convidado ou acesso restrito).
  • Habilite ou desative a capacidade de administradores e usuários para convidarem os convidados.
  • Configurar restrições de colaboração para permitir ou bloquear domínios específicos.
  • Opcionalmente, habilitar sincronização de inquilinos cruzados para fornecer automaticamente usuários B2B de inquilinos parceiros.

Para ambientes de alta segurança, restrinja convites de convidados para domínios específicos gerenciados pela Microsoft e exija fluxos de trabalho de aprovação usando Privileged Identity Management (PIM) para acesso de clientes com limite de tempo.

Passo 2: Convidar Usuários Externos

Os convites para convidados podem ser enviados por e-mail, link direto ou chamadas automáticas da API através de Microsoft Graph. Ao convidar por e-mail, forneça uma mensagem personalizada e defina uma URL de resgate. O usuário convidado recebe um e-mail com um link para aceitar o convite. Após a aceitação, Azure AD cria um objeto de usuário convidado no inquilino de recursos. Para uma federação perfeita com Azure AD de um parceiro, certifique-se de que o inquilino do parceiro tenha a confiança adequada da federação configurada (por exemplo, ]Azure AD B2B federation direta com provedores de identidade alimentados por SAML/WS).

Para convites em massa programáticos, use a API Invitation Manager para automatizar a integração em larga escala:

  • Pedido POST a .
  • Incluir o e-mail convidado, o convite redirecionar URL e opcional (Convidado ou Membro).
  • Monitorizar o estado do convite através de e .

Passo 3: Atribuir funções e permissões

Uma vez que o objeto de usuário convidado exista, atribua funções apropriadas. Azure AD tem funções incorporadas como Convidador de convidado e Leitores de diretório, ou crie funções personalizadas com permissões específicas de aplicativos. Para acesso a recursos, conceda permissões via associação de grupo (por exemplo, adicionando o convidado a um grupo de segurança que tenha acesso a uma biblioteca específica de documentos do SharePoint). Use Políticas de Acesso Condicional para escopo de requisitos MFA, conformidade de dispositivos e controles de sessão especificamente para usuários convidados.

Etapa 4: Integrar com os Provedores de Identidade Existentes (Federação Direta)

Se os seus parceiros usarem provedores de identidade AD não- Azure (por exemplo, Okta, Ping ou ADFS), você poderá configurar no Azure AD. No provedor de identidade do parceiro, configure o Azure AD como uma parte dependente (SAML ou WS-Fed). No Azure AD, vá para Identidades externas[] > [] Federation[ > [ Adicionar nova federação[[]. Fornecer o URL de metadados do provedor e especificar o domínio. Esta abordagem ignora a redenção de e- mail para os usuários desse domínio – eles assinam diretamente usando seu próprio provedor.

Passo 5: Monitore e a atividade de visita de auditoria

Aproveite Azure AD audit logs para rastrear a criação de convites, resgate, eventos de entrada e alterações de permissão. Use Azure Monitor Workbooks[] para criar painéis personalizados para atividade de hóspedes. Para conformidade, configure Entra ID Governance[] para automatizar comentários de acesso de hóspedes em uma base recorrente (por exemplo, trimestral) e remova contas antigas automaticamente.

Federação de Execução com Azure AD B2C

Passo 1: Criar um Azure AD B2C Tenant

No portal Azure, crie um novo inquilino B2C sob Criar um recurso > Azure Active Directory B2C[]. Escolha um nome de inquilino e um domínio inicial (por exemplo, ]). Repare no ID do inquilino – isto é necessário para todas as configurações subsequentes. Os inquilinos B2C são separados do seu inquilino principal Azure AD e estão isolados para a gestão da identidade do cliente. Após a criação, mude para o novo diretório B2C de inquilino para prosseguir.

Passo 2: Configurar os Provedores de Identidade

B2C suporta tanto provedores de identidade social e provedores de empresas. Para adicionar um provedor social como Google:

  1. Ir para Providenciadores de identidade > Adicionar > Google.
  2. Obtenha uma identificação de cliente e um segredo de cliente do Google Cloud Console.
  3. Introduza os parâmetros e os âmbitos de avaliação OAuth 2.0 (por exemplo, perfil, e-mail).
  4. Mapa de alegações (por exemplo, do Google ao Azure AD ]).

Para os provedores de identidade corporativa, use SAML 2. 0 ou OpenID Connect. Em [[FLT: 0]] Fornecedor de identidade[[ FLT: 1]] & gt; [[ FLT: 2]] Adicionar[[ FLT: 3]] & gt; [[ FLT: 4]] SAML[[[ FLT: 5]], forneça o URL, certificado e mapeamento de metadados. O B2C irá lidar com a troca de fichas e a criação de perfis para os primeiros sinais.

Passo 3: Design de fluxos de usuários e políticas personalizadas

Fluxos de usuário (fluxos predefinidos) são adequados para cenários simples como sign-up/sign-in, edição de perfil e reset de senha. Para requisitos avançados, como coletar várias páginas de atributos, alavancar APIs REST personalizadas durante o sign-up, ou integrar com um provedor de identidade corporativa, use políticas personalizadas com base no Identity Experience Framework (IEF). Políticas personalizadas são arquivos XML que definem políticas de framework de confiança (iniciando com uma base TrustFramework Policy.xml). Eles permitem:

  • Colecção personalizada de atributos através de perfis técnicos auto-assegurados.
  • Alega transformação com expressões tipo JavaScript.
  • Integração com os endpoints da API REST para validação, enriquecimento ou detecção de fraudes.
  • Orquestração multi-passo (por exemplo, primeiro login com social e depois link para conta local).

Envie políticas personalizadas no portal Azure sob Identity Experience Framework. Comece sempre com os modelos de pacotes iniciais fornecidos pela Microsoft para evitar erros de sintaxe XML.

Passo 4: Integrar o B2C Tenant com suas aplicações

Registe cada aplicativo voltado para o público (aplicação web, aplicativo de uma única página, aplicativo móvel, API) no locatário B2C sob Registrações do aplicativo[. Observe o Aplicação (cliente) ID[ e configure o URIs redireccionado[[ (por exemplo, ]). Para aplicativos de uma página, use a biblioteca do MSAL.js com o fluxo PKCE. Para aplicativos do lado do servidor, use o midddleware OIDC (por exemplo, ] para o núcleo ASP.NET) e configure a autoridade do B2C para .

Cada aplicativo deve especificar qual fluxo de usuário (ou política personalizada) usar através do parâmetro de consulta . Por exemplo, o fluxo de entrada usaria . Teste a integração executando o aplicativo localmente e verificando se o usuário pode autenticar através do provedor de identidade escolhido.

Cenários avançados da Federação

Sincronização de Tensão Cruzada B2B

Para a colaboração de parceiros empresariais, o Azure AD agora oferece sincronização de ativos cruzados (previsão pública no momento da escrita). Esta funcionalidade permite o provisionamento automático de usuários B2B entre inquilinos confiáveis do Azure AD usando o Sistema para Gerenciamento de Identidade de Domínio cruzado (SCIM). A configuração é feita no inquilino fonte (o inquilino do parceiro) onde uma aplicação chamada ] Sincronização de ativos cruzados[] está registrada. O administrador do locatário de origem seleciona os usuários ou grupos para sincronizar, e esses usuários aparecem como usuários convidados no inquilino alvo sem convite manual. Isto é ideal para relacionamentos B2B de longa duração e grande escala.

Federação B2C com provedores de identidade corporativa

Muitas organizações exigem que seus consumidores autenticem usando credenciais corporativas (por exemplo, funcionários acessando um portal de revendedores). No B2C, isso é conseguido adicionando um provedor de identidade Corporate (SAML/OIDC) e configurando o mapeamento de reivindicações para garantir que o atributo organização seja capturado. Use políticas personalizadas para encaminhar usuários de um domínio específico para o IdP corporativo, enquanto outros usam login social. Este padrão é comum em aplicativos SaaS multi-tenant.

Combinação de B2B e B2C para cenários híbridos

Algumas aplicações precisam de suporte tanto às identidades de parceiro como de consumidor. Uma arquitetura viável é usar Azure AD B2C como o gateway de identidade para todos os usuários externos, e então usar a federação B2B dentro da infraestrutura. O B2C pode ser configurado para federar com o Azure AD de um parceiro via OIDC, tratando o parceiro como apenas outro provedor de identidade. Alternativamente, você pode manter inquilinos B2C separados para consumidores e um inquilino dedicado do Azure AD com B2B para parceiros, e usar uma camada de gerenciamento de API para direcionar autenticação para a loja de identidade apropriada. A escolha depende se os parceiros precisam de acesso aos mesmos recursos que os consumidores, e sobre os seus requisitos de governança.

Melhores práticas de segurança para a Federação de Identidade

Impulse a autenticação multifatorial para todos os usuários federados

Mesmo que os usuários federados autenticem com seus próprios provedores de identidade, seu inquilino deve sempre impor MFA para o acesso de hóspedes e consumidores quando dados sensíveis estão envolvidos. Use políticas de acesso condicional segmentando usuários externos (B2B) ou todos os usuários[ (B2C). Em B2C, habilite MFA dentro do fluxo de usuários ou política personalizada, oferecendo SMS, voz ou aplicativo autenticador.

Implementar o acesso justo no tempo e análises de acesso

Para B2B, use Privileged Identity Management (PIM) para ativar funções de administrador convidado em uma base de tempo-ligado. Agendar ]Acess reviews para verificar periodicamente se cada hóspede ainda necessita de acesso. Para B2C, implemente session management[ para expirar os tokens após um período ocioso definido e reautenticação rápida para operações de alto risco.

Políticas personalizadas seguras e fluxos de usuários

Políticas personalizadas em B2C devem ser tratadas como código: armazená- las em um repositório seguro, realizar revisões por pares e usar um pipeline CI/CD para implantação. Nunca segredos de código rígidos (chaves API, segredos de cliente) em XML de política; em vez disso, remeta- as como chaves de política[] armazenadas no inquilino B2C sob Identity Experience Framework[ > ] Teclas de política[[. Use criptografia e impressões digitais de certificados para chaves de alto valor.

Monitore e responda às ameaças

Integrar ]Azure AD Identity Protection para detectar sinais arriscados para usuários B2B. Para B2C, use políticas de acesso condicional personalizadas[ que avaliam níveis de risco da Identity Protection. Configure alertas para padrões incomuns, como um pico súbito nas remições de convite de um domínio inesperado. Use Azure Sentinel[] para informações de segurança avançadas e gerenciamento de eventos (SIEM) em todos os sinais de identidade.

Pistas comuns e como evitá - las

  • Configuração de Domínio Incorreta na Federação Direta: Certifique-se de que o domínio do parceiro seja devidamente verificado tanto no Azure AD quanto no IdP do parceiro. Nomes de domínio errados causam falhas de autenticação silenciosa.
  • Acesso ao visitante autorizado: Por padrão, os usuários convidados têm permissões de leitura de diretório limitadas, mas é fácil atribuir acidentalmente funções de escritor de diretório. Siga o princípio do menor privilégio e use grupos para controle de acesso.
  • Claims Mapeamento Erros em B2C: Os provedores sociais retornam nomes de reclamações diferentes. Sempre mapeiam reivindicações explicitamente na configuração do provedor de identidade, especialmente (sujeito) e . O mapeamento de reivindicações ausente leva a usuários duplicados ou a falhas de cadastro.
  • Dificuldade de depuração da política personalizada: Políticas personalizadas são notoriamente difíceis de depurar. Use UserJourney logs no inquilino B2C ou Insights de aplicação[] para telemetria. Anexe um parâmetro de string de consulta personalizado () ao URL de autorização para obter logs detalhados nas ferramentas de desenvolvimento do navegador.
  • Ignorando as considerações de vida útil e de sessão do Token: As vidas de vida de token padrão podem ser muito longas para cenários de alta segurança. Configure as políticas de vida de token no Azure AD (para B2B) ou no perfil técnico de emissão de token do B2C para definir a expiração apropriada, atualizar a janela deslizante do token e o tempo de sessão.

Referências externas para leitura posterior

Para aprofundar a sua compreensão da federação de identidade Azure AD, consulte os seguintes recursos oficiais:

Conclusão

Implementar a federação de identidade com o Azure AD B2B e o B2C é um movimento estratégico que desbloqueia a colaboração e o engajamento do cliente sem problemas, mantendo uma segurança robusta. Ao entender os papéis distintos de cada serviço, seguindo uma abordagem de configuração estruturada e aderindo às melhores práticas de segurança, as organizações podem construir uma arquitetura de federação que dimensiona de um punhado de parceiros para milhões de consumidores. Quer você esteja convidando um fornecedor para um canal de equipes ou permitindo o login social para um aplicativo móvel, as ferramentas e padrões descritos aqui fornecem uma base pronta para a produção. Lembre-se de revisar e testar regularmente seus fluxos de federação, à medida que as paisagens de identidade evoluem continuamente. Com o planejamento cuidadoso e a orientação neste artigo, você pode implantar com confiança a Azure AD federação de identidade que atende tanto aos requisitos de negócios quanto de segurança.