B2C IEF Keyset Administrator + B2C IEF Policy Administrator

B2C IEF Keyset Administrator tem microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks — os segredos de federação e as chaves de assinatura/criptografia do Identity Experience Framework. B2C IEF Policy Administrator tem microsoft.directory/b2cTrustFrameworkPolicy/allProperties/allTasks — as trust framework policies que definem a jornada do usuário e o conteúdo do token. Chave mais política é a cadeia inteira de emissão: uma identidade com as duas pode escrever uma jornada que emite o token que quiser e assiná-lo com uma chave que ela mesma introduziu.

Forja de tokens aceitos por todas as aplicações relying party do tenant B2C — inclusive aplicações voltadas ao cliente final, com impacto direto de fraude e de dados pessoais.

• Separar a custódia das policy keys da autoria das custom policies, em equipes e processos distintos.
• Promover custom policies do B2C por pipeline versionado, com revisão obrigatória de segundo par.
• Inventariar as policy keys periodicamente e alertar sobre qualquer keyset criado fora do processo aprovado.
• Manter tenants B2C de desenvolvimento e produção separados, com atribuições independentes.

• https://learn.microsoft.com/en-us/azure/active-directory-b2c/custom-policy-overview
• https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference