使用NewInteractiveBrowserCredential登录时遇'Microsoft Services租户无此账户'错误

问题分析 #

你遇到的错误源于代码配置与多租户+个人微软账户的需求不匹配：

• 代码中TenantID设为了具体租户ID，且GetToken方法也指定了该租户ID，导致非该租户的用户（包括个人微软账户）无法通过验证。
• AdditionallyAllowedTenants字段传入了登录端点URL（https://login.microsoftonline.com/common），但该字段要求填入租户ID列表，而非端点地址。

修复步骤 #

1. 设置正确的TenantID
   对于支持"任何组织目录账户和个人微软账户"的应用，TenantID应设为"common"，这个值允许所有微软身份账户（组织和个人）发起登录请求。

2. 修正AdditionallyAllowedTenants配置
   若需允许所有租户的用户登录，直接将该字段设为[]string{"*"}；若有特定租户限制，填入对应的租户ID列表即可。

3. 移除GetToken中的TenantID参数
   GetToken中指定的TenantID会覆盖Credential配置的值，导致多租户逻辑失效，因此需要删除该参数。

修正后的代码示例 #

cred, err := azidentity.NewInteractiveBrowserCredential(&azidentity.InteractiveBrowserCredentialOptions{
    ClientOptions: policy.ClientOptions{
        Cloud: cloud.AzurePublic,
    },
    AdditionallyAllowedTenants: []string{"*"}, // 允许所有租户/个人账户
    ClientID:                   clientId,
    TenantID:                   "common", // 使用common支持全量微软账户
    RedirectURL:                "http://localhost:4300/login_microsoft",
})
if err != nil {
    // 处理初始化错误
}

token, err := cred.GetToken(context.TODO(), policy.TokenRequestOptions{
    Scopes: []string{"openid", "profile", "email"},
    // 移除TenantID参数，使用Credential配置的common
})
fmt.Printf("%+v\n", err)
fmt.Printf("%+v\n", token)

验证要点 #

• 确认Azure AD应用注册中的"支持的账户类型"确实设置为"任何组织目录中的账户（任何Microsoft Entra ID租户 - 多租户）和个人Microsoft账户（如Skype、Xbox）"。
• 检查重定向URL是否与应用注册中配置的一致，本地测试通常使用http://localhost:端口格式。

内容的提问来源于stack exchange，提问作者brent Kievit-Kylar