多租户Teams标签应用使用Teams Toolkit实现SSO跨租户失效，触发Microsoft API AADSTS500011错误

我太懂这种糟心的情况了——自己租户里测试SSO一切正常，换到其他租户就直接炸出AADSTS500011错误，核心提示就是目标租户里找不到你的API资源。咱们先把问题拆解清楚，再一步步解决：

错误核心信息展示 #

先把你遇到的错误和请求细节整理出来，方便对照排查：

错误响应（JSON）

{
  "error": "invalid_resource",
  "correlation_id": "4c3b68b7-e486-4a0b-9f6b-18daca87d36a",
  "error_codes": [500011],
  "error_description": "AADSTS500011: The resource principal named api://myconnectprodc5820ctab.z10.web.core.windows.net/dc64f450-283f-4d88-88ca-2746d5898f15 was not found in the tenant named Contoso. This can happen if the application has not been installed by the administrator of the tenant or consented to by any user in the tenant. You might have sent your authentication request to the wrong tenant.\r\nTrace ID: 43460303-4cfb-4426-af97-d82fff0e6b00\r\nCorrelation ID: 4c3b68b7-e486-4a0b-9f6b-18daca87d36a\r\nTimestamp: 2023-05-30 11:55:44Z",
  "error_uri": "https://login.microsoftonline.com/error?code=500011",
  "timestamp": "2023-05-30 11:55:44Z",
  "trace_id": "43460303-4cfb-4426-af97-d82fff0e6b00"
}

失败的请求日志

POST https://login.microsoftonline.com/5ec8afbc-af51-44e6-87dc-d90f5b953f77/oauth2/v2.0/token 400 (Bad Request)
(anonymous) @ msal-browser.min-8cecb01.js:1
(anonymous) @ msal-browser

请求Payload细节

client_id: 5e3ce6c0-2b1f-4285-8d4b-75ee78787346
scope: api://myconnectprodc5820ctab.z10.web.core.windows.net/dc64f450-283f-4d88-88ca-2746d5898f15/.default openid profile offline_access
grant_type: refresh_token
client_info: 1
x-client-SKU: msal.js.browser
x-client-VER: 2.19.0

问题根源分析 #

AADSTS500011错误的本质是：目标租户（比如你提到的Contoso）的Azure AD中，没有识别到你请求的API资源（api://myconnectprodc5820ctab.z10.web.core.windows.net/dc64f450-283f-4d88-88ca-2746d5898f15），通常有两个核心原因：

1. 你的API应用没有配置为多租户模式，其他租户无法访问
2. 目标租户的管理员没有对该API资源授予租户级别的同意权限

具体解决步骤 #

1. 确认API应用的多租户配置

登录Azure AD门户，找到你通过Teams Toolkit创建的API应用（对应那个api://xxx资源的应用注册）：

• 进入应用注册的概述页面，检查租户类型是否设置为「任何组织目录中的账户（任何 Azure AD 目录 - 多租户）」
• 如果之前是单租户，修改后记得保存，这个设置是跨租户访问的基础

2. 让目标租户管理员授予API权限同意

因为是多租户应用，很多租户默认禁用了用户自主同意API权限，必须由租户管理员完成管理员同意：

• 构造同意链接（替换成你的实际参数）：

  https://login.microsoftonline.com/{目标租户ID}/adminconsent?client_id={你的客户端ID}&scope=api://{API资源ID}/.default
  

• 让目标租户的管理员访问这个链接，完成权限同意操作，这样该租户下的所有用户才能访问你的API资源

3. 验证API资源URI的准确性

检查Teams Toolkit生成的配置文件（比如.env或者teamsapp.yml）里的API资源URI，确保和Azure AD应用注册里的Expose an API页面中的Application ID URI完全一致——哪怕是一个字符的拼写错误，都会导致AAD找不到资源

4. 刷新令牌相关排查

如果前面的配置都没问题，还可以检查刷新令牌：

• 确认刷新令牌是从目标租户获取的，而不是你自己的租户
• 刷新令牌可能已经过期，尝试让用户重新发起登录流程，获取新的授权令牌

备注：内容来源于stack exchange，提问作者vikram singh