如何解决Entra ID B2C API调用中的AADSTS500207与AADSTS500208错误

错误原因分析 #

你遇到的两个错误本质是调用了错误的令牌端点：

• 调用B2C租户的ciamlogin.com令牌端点：B2C租户仅能颁发访问自身租户内资源的令牌，无法为内部Entra ID租户的API生成令牌，因此返回AADSTS500207。
• 用B2C租户ID调用login.microsoft.com端点：内部Entra ID租户的端点不识别B2C用户令牌的签发者（B2C域名），因此返回AADSTS500208。

正确的OBO流实现步骤 #

1. 权限配置二次验证 #

确认内部Entra ID租户的API应用注册：

• 已设置为对B2C租户可见
• 已向B2C租户的BFF应用授予Delegated类型的专属范围权限
• 已完成内部租户的管理员同意（跨租户权限必须由管理员手动同意，无法用户自助同意）

同时确认B2C用户获取的访问令牌：aud为BFF应用的ID，iss为B2C租户的域名（格式如https://<myb2cdomain>.ciamlogin.com/<myb2ctenantId>/v2.0/）。

2. 手动OBO请求的正确参数 #

必须调用内部Entra ID租户的令牌端点：

https://login.microsoft.com/<内部租户ID>/oauth2/v2.0/token

请求采用POST表单格式，参数如下：

• grant_type: urn:ietf:params:oauth:grant-type:jwt-bearer
• client_id: B2C租户中BFF应用的注册ID
• client_secret: B2C租户中BFF应用的客户端密钥（若BFF是机密客户端）
• assertion: 公共用户获取的B2C访问令牌（访问BFF的令牌）
• scope: 内部API的专属范围（格式：api://<内部API应用ID>/<自定义范围名称>）
• requested_token_use: on_behalf_of

3. Microsoft.Identity.Web集成HttpClientFactory实现 #

无需放弃HttpClientFactory，Microsoft.Identity.Web可自动处理OBO流：

安装依赖包

dotnet add package Microsoft.Identity.Web
dotnet add package Microsoft.Identity.Web.DownstreamApi

配置Program.cs

var builder = WebApplication.CreateBuilder(args);

// 配置B2C认证及OBO支持
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(builder.Configuration.GetSection("AzureAdB2C"))
    .EnableTokenAcquisitionToCallDownstreamApi()
    .AddDownstreamApi("InternalApi", builder.Configuration.GetSection("DownstreamApis:InternalApi"))
    .AddInMemoryTokenCaches();

// 注册HttpClientFactory
builder.Services.AddHttpClient();

var app = builder.Build();

app.UseAuthentication();
app.UseAuthorization();

app.MapControllers();
app.Run();

配置appsettings.json

{
  "AzureAdB2C": {
    "Instance": "https://<myb2cdomain>.ciamlogin.com/",
    "Domain": "<myb2cdomain>.onmicrosoft.com",
    "TenantId": "<myb2ctenantId>",
    "ClientId": "<BFF应用ID>",
    "ClientSecret": "<BFF应用密钥>",
    "SignUpSignInPolicyId": "<你的B2C用户流/自定义策略ID>"
  },
  "DownstreamApis": {
    "InternalApi": {
      "BaseUrl": "https://<内部API基础地址>",
      "Scopes": "api://<内部API应用ID>/access_as_user"
    }
  }
}

控制器中使用HttpClientFactory

[Authorize]
[ApiController]
[Route("api/[controller]")]
public class BffController : ControllerBase
{
    private readonly IHttpClientFactory _httpClientFactory;

    public BffController(IHttpClientFactory httpClientFactory)
    {
        _httpClientFactory = httpClientFactory;
    }

    [HttpGet("internal-resource")]
    public async Task<IActionResult> GetInternalResource()
    {
        var httpClient = _httpClientFactory.CreateClient("InternalApi");
        // 框架自动附加OBO获取的内部API令牌
        var response = await httpClient.GetAsync("/api/your-resource");
        response.EnsureSuccessStatusCode();
        var content = await response.Content.ReadAsStringAsync();
        return Ok(content);
    }
}

关键注意事项 #

• 内部API的令牌验证逻辑必须信任B2C租户的签发者（https://<myb2cdomain>.ciamlogin.com/<myb2ctenantId>/v2.0/），可通过配置JWT验证的ValidIssuers实现。
• 确保B2C用户令牌的azp（授权方）是BFF应用的ID，避免令牌被滥用。

内容的提问来源于stack exchange，提问作者pr177