部署至IIS的Azure AD Token端点API调用超时问题排查求助

我们原本在IIS服务器上运行的Ping Federate OpenId Connect单点登录方案正常可用，迁移至Azure AD后，C#代码在开发机（localhost）上运行正常，但部署到Windows 2016 Server的IIS环境后，调用Token接口获取Token的操作会在2分钟后超时。

具体表现为：IIS环境中，授权请求（Auth地址：https://login.microsoftonline.com/{tenant}/oauth2/v2.0/authorize）能正常返回授权码，但调用Token端点（Token地址：https://login.microsoftonline.com/{tenant}/oauth2/v2.0/token）时出现超时。

技术栈 #

• ASP.NET Web页面应用
• .NET Framework 4.7
• 从Ping Federate迁移至Azure AD
• Windows 2016 Server
• 认证流程：OAuth 2.0授权码模式

调用Token的代码 #

var client = new HttpClient();
var stringContent = new StringContent(this.ToString(), Encoding.UTF8, "application/x-www-form-urlencoded");
                
var response = client.PostAsync(tokenUri, stringContent).Result;
response.EnsureSuccessStatusCode();
string responseBody = response.Content.ReadAsStringAsync().Result;

排查方向及解决方案建议 #

1. 网络与防火墙配置检查 #

• 确认Windows 2016 Server服务器的防火墙/出站规则允许访问login.microsoftonline.com的443端口（HTTPS），虽然授权请求能通，但可能Token端点的网络路径存在限制，比如代理配置差异。
• 检查服务器是否需要通过代理访问外部网络，开发机可能已配置代理，但IIS应用池的运行账户未继承代理设置。可在代码中显式配置代理：

var handler = new HttpClientHandler
{
    Proxy = new WebProxy("http://your-proxy-address:port"),
    UseProxy = true
};
var client = new HttpClient(handler);

2. IIS与应用池配置调整 #

• 检查IIS应用池的.NET CLR版本是否设置为v4.0，确保与项目的.NET Framework 4.7兼容。
• 调整应用池的闲置超时时间和请求超时时间，避免因应用池回收或请求超时导致调用中断。
• 确认应用池运行账户的权限，是否有足够的网络访问权限，部分内置账户可能受限于网络访问策略。

3. 代码优化 #

• 避免使用.Result同步阻塞调用，改为异步方式调用，防止因线程阻塞导致的超时问题：

using (var client = new HttpClient())
{
    var stringContent = new StringContent(this.ToString(), Encoding.UTF8, "application/x-www-form-urlencoded");
                    
    var response = await client.PostAsync(tokenUri, stringContent);
    response.EnsureSuccessStatusCode();
    string responseBody = await response.Content.ReadAsStringAsync();
}

• 添加HttpClient的超时时间设置，默认超时是100秒，2分钟超时可能是因为默认超时后未处理，显式设置合理的超时值：

client.Timeout = TimeSpan.FromSeconds(30);

4. Azure AD配置验证 #

• 确认Azure AD应用注册的重定向URI配置正确，与IIS部署的应用地址一致。
• 检查应用注册的客户端密钥/证书是否有效，是否在有效期内，避免因认证失败导致的隐性超时。

内容的提问来源于stack exchange，提问作者Jay