Azure AD B2C自定义策略集成OIDC外部IDP时JWK反序列化错误排查

根据你提供的错误信息"The jwk key can't be deserialized. Reason: 'Certificate key and key object are not identical'"，核心问题是Azure AD B2C在解析第二个IDP的JWK（JSON Web Key）时，发现证书公钥与JWK中的RSA参数（n、e）不匹配，导致验证失败。以下是具体排查方向：

• 校验第二个IDP的JWKS格式一致性
  手动访问第二个IDP的jwks_uri（从.well-known/openid-configuration中获取），检查每个密钥条目：

  • 如果条目同时包含x5c（证书链）和n/e（RSA公钥参数），需确认两者对应的公钥完全一致。可以将x5c中的证书解码为PEM格式，提取公钥后，与n/e参数生成的公钥对比。
  • 若存在格式冲突（比如证书过期、公钥不匹配），联系IDP提供商修复JWKS内容。

• 强制指定特定密钥ID
  在第二个IDP的Technical Profile的Metadata节点中添加以下配置，尝试指定IDP JWKS中有效的密钥ID（kid），绕过有问题的密钥：

  <Item Key="kid">your-valid-key-id</Item>
  

  或者直接指定JWKS地址替代自动元数据获取：

  <Item Key="jwks_uri">https://your-idp-domain/path/to/jwks</Item>
  

• 检查IDP的OIDC标准合规性
  确认第二个IDP的JWK是否符合RFC 7517标准：

  • n和e参数必须使用URL安全的Base64编码（不能包含+、/、=字符，需替换为-、_，并去除末尾等号）。
  • x5c字段必须包含完整的证书链，且证书格式正确（PEM编码的DER证书）。

• 对比正常IDP的JWKS结构
  将第二个IDP的JWKS与第一个正常工作的IDP的JWKS做结构对比，查看是否存在字段差异（比如第一个IDP仅返回x5c或仅返回n/e，而第二个同时返回但不匹配）。若存在差异，调整第二个IDP的配置使其对齐标准结构。

内容的提问来源于stack exchange，提问作者akshay1010