多租户应用自定义声明提供商配置异常求助

一、源租户错误码1003006的排查与修复 #

错误码CustomExtensionInvalidResponseContentType的核心问题是Azure Function返回的响应内容类型不符合Entra ID的严格要求，哪怕JSON结构正确也会触发：

• 直接调用Azure Function，检查响应头的Content-Type必须是严格的application/json，不能带任何后缀（比如application/json; charset=utf-8这类带编码参数的格式会被判定无效）
• 修正Function代码的返回逻辑：
  • C#环境下，优先使用OkObjectResult返回JSON对象，而非手动拼接字符串并设置Content-Type，避免框架自动添加额外编码参数
  • Python环境下，返回时明确指定headers：return json.dumps(response_data), 200, {'Content-Type': 'application/json'}
• 可以用Fiddler或Postman抓包验证Function的响应头是否完全符合要求

二、外部租户未触发自定义声明提供商的原因与解决 #

多租户场景下，自定义声明提供商默认仅在源租户生效，外部租户需满足以下条件才会触发：

• 外部租户管理员必须完成应用权限同意：应用需请求CustomClaimProvider.ReadWrite.All相关权限，且外部租户管理员完成了租户级别的权限同意流程（自定义扩展涉及租户身份处理，必须管理员授权）
• 触发规则未限制源租户：检查Entra ID中配置的自定义声明提供商触发条件，确保没有添加user.tenantId eq '源租户ID'这类仅针对源租户用户的过滤规则
• 外部租户功能状态正常：确认外部租户的Entra ID自定义扩展功能处于启用状态（默认启用，若租户有特殊安全策略需检查）

内容的提问来源于stack exchange，提问作者Okeano