Azure AD B2C代替電子メールアドレスを使用したパスワードリセットポリシー

Question

パスワードリセットポリシーを作成しました。ローカルアカウントのIDプロバイダにusernameを使用しています。

ユーザー名とメールアドレスを尋ねるパスワードリセット画面。 誰かのユーザー名を知っていますが、別のメールアドレスを使用して認証コードを受け取ると、他のユーザーのアカウントにアクセスできるようになります。

「代替メールアドレス」を使用するためにパスワードリセット用のチェックボックスがあることがわかりました。これは、ユーザー入力を許可するために非常に安全です。パスワードリセットポリシーでは「代替メールアドレス」を使用することはできません。

どこに設定すればよいですか？私が誰かの名を知っているが、確認コードを受け取る に別のメールアドレスを使用するならば、私は誰か 他の人のアカウントにアクセスすることができますどのような

Answer 1

。

ユーザー名と電子メールアドレスは、アカウントのエントリと一致する必要があります。ユーザーが別のメールアドレスを使用すると、アカウントが見つからなかったことを示すエラーメッセージが表示されます。電子メールの検証は、アカウントを検索する前に行われ、悪意のあるユーザーがアカウントの別の電子メールアドレスを試してみる機会を最小限に抑えます。

ユーザーがサインアップしたときに代替電子メールアドレスが収集されないため、代替電子メールアドレスはAzure AD B2Cではサポートされていません。

あなたの質問に貼り付けた管理UIはエンタープライズディレクトリ用であり、Azure AD B2Cには適用されません。 Azure AD B2Cポリシーは、Azure PortalのAzure AD B2C設定ブレードを使用してのみ設定できます。