Azure AD B2C自定义策略调用REST接口遇SSL证书信任问题求助

你遇到的错误核心是Azure AD B2C无法验证REST接口的SSL证书有效性，导致SSL/TLS安全通道无法建立。以下是针对性的解决步骤：

• 使用受信任CA签发的证书
  自签名证书或私有CA未被Azure AD B2C默认信任，必须替换为公共CA（如Let's Encrypt、DigiCert）签发的证书。同时检查证书：

  • 域名与REST接口的访问域名完全匹配
  • 证书未过期、未被吊销

• 确保证书链完整部署
  部分CA签发的证书需要搭配中间证书才能完成信任链验证，确认REST接口服务器已完整部署根证书、中间证书和服务器证书的完整链。可通过SSL证书检查工具验证链的完整性。

• 正确配置自定义策略中的证书信任
  若必须使用私有CA或自签名证书（仅建议测试环境），需在策略中明确配置信任的证书：

  1. 将证书公钥导出为Base64编码的.cer文件
  2. 在Azure AD B2C租户的策略密钥中上传该证书，类型选择X509 Certificate
  3. 在REST技术配置的<Metadata>节点添加以下配置：

     <Item Key="ClientCertificateThumbprint">你的证书指纹</Item>
     <Item Key="SkipCertificateValidation">false</Item>
     

  注意：SkipCertificateValidation设为true仅用于测试，生产环境禁止开启，会引发严重安全风险。

• 验证TLS版本兼容性
  Azure AD B2C仅支持TLS 1.2及以上版本，确认REST接口服务器已禁用TLS 1.0、1.1等老旧协议。

内容的提问来源于stack exchange，提问作者komala pelleti