Next-Auth集成Azure AD多租户时外部用户认证失败求助

以下是针对问题的具体排查步骤：

1. 确认应用支持的账户类型 #

进入Azure AD应用注册页面，查看应用的概述标签，确认「支持的账户类型」已设置为：

Accounts in any organizational directory (Any Azure AD directory - Multitenant) and personal Microsoft accounts (e.g. Skype, Xbox)
如果显示其他选项，重新修改并保存设置，等待5-10分钟让配置生效。

2. 检查Next-Auth的AzureAD Provider配置 #

确保在[...nextauth].js中，AzureAD Provider的tenantId设置为"common"，而非具体租户ID：

import AzureADProvider from "next-auth/providers/azure-ad";

export default NextAuth({
  providers: [
    AzureADProvider({
      clientId: process.env.AZURE_AD_CLIENT_ID,
      clientSecret: process.env.AZURE_AD_CLIENT_SECRET,
      tenantId: "common" // 必须设置为common，否则个人账户无法登录
    })
  ],
  // 其他配置...
});

若使用租户ID，Azure会限制仅该租户内用户可访问，个人微软账户会被拒绝。

3. 检查企业应用的用户分配设置 #

进入Azure AD的「企业应用」页面，找到目标应用：

• 进入「属性」标签
• 确认「需要用户分配？」设置为否
  若设为「是」，仅手动分配的用户（如应用所有者）可登录，外部用户会被拦截。

4. 验证API权限配置 #

进入应用注册的「API权限」标签：

• 确保添加的是无需管理员同意的委派权限（如Microsoft Graph的User.Read）
• 避免添加需管理员同意的权限（如Directory.Read.All），这类权限个人微软账户无法授权，会导致登录失败
• 确认权限状态为「已授予（针对个人用户）」（针对个人账户登录场景）

5. 检查外部协作设置 #

进入Azure AD的「外部标识」->「外部协作设置」：

• 确保「来宾用户访问权限」设置为允许来宾用户访问与成员相同的目录对象（或至少允许基本访问）
• 确认「允许邀请来宾用户」处于开启状态（个人微软账户登录时会自动创建来宾用户，无需手动添加，此设置是自动创建的前提）

6. 确认身份验证隐式流设置 #

进入应用注册的「身份验证」标签：

• 在「隐式授权和混合流」下，勾选ID令牌（Next-Auth需要ID令牌获取用户身份信息）
• 确保重定向URIhttp://localhost:3000/api/auth/callback/azure-ad已正确添加到「Web」平台下

完成以上检查后，用非租户内的个人微软账户（如新的hotmail账户）重新测试登录流程。

内容的提问来源于stack exchange，提问作者Dibyendu Saha