Entra External ID：禁用自动加速与Home Realm Discovery问题求助

问题背景 #

我们的应用基于Entra External ID构建身份系统，通过Graph API创建客户用户，创建载荷如下：

AccountEnabled = true;
Identities = new List<ObjectIdentity>
{
   new() { SignInType = "federated", Issuer = "mail", IssuerAssignedId = email }
};

预期用户登录时在我方IDP租户完成OTP认证，但部分固定用户被自动跳转到自家Entra租户，出现异常混合认证页面，而非预期的OTP流程。已配置禁用Home Realm Discovery（HRD）的策略并绑定到应用，且删除重建受影响用户，问题仍未解决。

排查与解决步骤 #

1. 验证用户身份属性正确性 #

• 确认用户的Issuer字段严格设置为mail：该值代表使用Entra External ID的邮箱登录机制，若误设为客户域名或租户ID，会触发联邦跳转逻辑。
• 检查用户UserType属性为Guest：Entra External ID的客户用户必须标记为Guest类型，否则会被识别为内部用户，触发HRD跳转。

2. 升级HRD策略配置 #

现有策略仅忽略域名提示，需补充强制关闭HRD并允许我方租户验证的规则：

# 连接Graph API
Connect-MgGraph -scopes "Policy.ReadWrite.ApplicationConfiguration", "Application.ReadWrite.All" -tenantId $ourIdpTenantId

# 构造更新后的策略参数
$updateParams = @{
    definition = @(
        '{
            "HomeRealmDiscoveryPolicy": {
                "DomainHintPolicy": {
                    "IgnoreDomainHintForDomains": ["*"],
                    "RespectDomainHintForDomains": [],
                    "IgnoreDomainHintForApps": [],
                    "RespectDomainHintForApps": []
                },
                "DisableHomeRealmDiscovery": true,
                "AllowCloudPasswordValidation": true
            }
        }'
    )
}

# 更新现有策略
Update-MgPolicyHomeRealmDiscoveryPolicy -HomeRealmDiscoveryPolicyId "<policyId>" -BodyParameter $updateParams

• DisableHomeRealmDiscovery: true：彻底关闭自动跳转至用户家租户的逻辑
• AllowCloudPasswordValidation: true：强制允许在我方租户完成密码/OTP验证

3. 优化应用登录请求参数 #

在应用发起的OpenID Connect登录请求中添加以下参数，强制导向我方租户流程：

• domain_hint=consumers：指定使用Entra External ID的消费者登录通道
• login_hint=<用户邮箱>：直接定位到我方租户的用户对象，跳过域名自动检测

4. 检查租户外部身份配置 #

• 进入Entra管理中心，在外部身份 > 外部协作设置中，确认未针对特定域名配置联邦信任规则，避免部分域名被自动跳转。
• 检查目标应用的单一登录设置，确保未配置错误的重定向或联邦映射规则。

5. 清除用户端缓存 #

• 要求受影响用户清除浏览器中与Microsoft身份认证相关的Cookie（如ESTSAUTH、ESTSAUTHPERSISTENT），并清除浏览器缓存。
• 使用隐私窗口测试登录，排除本地会话缓存导致的跳转问题。

内容的提问来源于stack exchange，提问作者Pio