.NET8多租户应用Entra External ID普通用户登录AADSTS500208问题

AADSTS500208错误核心原因是外部租户的普通用户未被允许访问目标应用，通常是应用的用户分配限制或服务主体配置问题，以下是具体解决步骤：

1. 关闭应用的用户分配强制要求 #

• 登录Workforce租户的Entra管理中心，找到你的应用注册对应的企业应用实例（注意：用户分配设置在企业应用里，不是应用注册页面）
• 进入该企业应用的属性页，将需要用户分配？选项设置为否
• 保存后，外部租户的普通用户无需被手动分配即可访问应用

2. 配置外部租户服务主体的权限 #

• 登录外部租户的Entra管理中心，找到Workforce租户应用对应的服务主体
• 进入权限 > 企业应用权限，添加User.Read基础权限（这类权限属于用户可自行同意的范围，无需管理员角色）
• 由外部租户管理员完成授予租户范围的同意，确保所有普通用户都能继承该权限

3. 修正.NET 8应用的认证配置 #

确保Program.cs里的多租户和身份验证配置正确适配外部用户：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(builder.Configuration.GetSection("AzureAd"))
    .EnableTokenAcquisitionToCallDownstreamApi()
    .AddMicrosoftGraph(builder.Configuration.GetSection("MicrosoftGraph"))
    .AddInMemoryTokenCaches();

// 多租户模式配置
builder.Services.Configure<MicrosoftIdentityOptions>(options =>
{
    options.TenantId = "common"; // 多租户场景必须设为common或organizations
    // 可选：指定允许登录的租户ID，避免无关租户访问
    options.AllowedTenants = new List<string> { "你的Workforce租户ID", "外部租户ID" };
});

4. 检查外部租户用户的基础设置 #

• 确认普通用户是外部租户的Member身份（本地用户），而非Guest
• 确保用户账号状态正常，没有被限制登录或访问企业应用的权限

5. 验证appsettings.json的配置正确性 #

确保AzureAD配置的受众和客户端ID对应Workforce租户的应用注册：

"AzureAd": {
  "Instance": "https://login.microsoftonline.com/",
  "TenantId": "common",
  "ClientId": "你的Workforce应用注册ClientId",
  "Audience": "api://你的Workforce应用注册ClientId",
  "CallbackPath": "/signin-oidc"
}

完成以上配置后，测试外部租户的普通Member用户登录，即可解决AADSTS500208错误。

内容的提问来源于stack exchange，提问作者Danny Boy