多身份提供商下MSAL对接Azure AD认证异常排查

背景 #

• Azure上托管2个B2B应用，通过Azure AD企业应用管理受邀来宾用户的访问权限，支持Admin、Manager、Salesperson等多角色
• 需要覆盖的用户类型：本租户正式员工、个人邮箱用户、微软组织账户用户、Google Workspace用户，仅允许预先受邀的来宾用户访问
• 使用MSAL重定向模式做认证，本租户用户和个人微软账号可正常登录、读取角色，但外部微软组织账户和Google Workspace用户认证失败，推测为配置问题
• 当前特殊配置：全局策略开启了「阻止美国境外访问」和「强制MFA」，但已为这2个企业应用添加条件访问例外；MSAL登录重定向URL设置为https://login.microsoftonline.com/

具体问题 #

1. Google用户认证卡MFA：用户登录谷歌账号后未跳转回应用，反而进入Microsoft Authenticator页面要求设置2FA，尽管已为企业应用排除MFA要求
2. 外部微软组织用户报错AADSTS90072：提示

用户账户‘name@organization.onmicrosoft.com’来自身份提供商‘https://sts.windows.net/nnnnnnn-nnnn-nnnn-nnnn-nnnnnnnnnnnn/’，不存在于租户‘Tenant, Inc’中，无法访问该租户内的应用‘0000000c-0000-0000-c000-000000000000’（Microsoft App Access Panel），需先添加为外部用户，建议切换账户重新登录

核心疑问 #

• 已添加谷歌作为外部身份提供商，是否需要额外添加微软（尽管它是默认提供商）？
• MSAL重定向URL中的租户ID要不要移除？这是不是标识认证应用的唯一方式？
• 错误提示要求添加外部用户，但资料显示添加来宾用户才是正确流程（因账户在对方主租户），两者有何区别？
• 认证流程如何确定使用哪个身份提供商？仅通过邮箱地址吗？

解决方案 #

解决Google用户强制MFA问题 #

• 检查条件访问例外准确性：确认条件访问策略的排除项填写的是应用的应用ID而非名称；同时排查全局MFA策略是否对来宾用户单独生效，需确保来宾用户的MFA豁免规则正确配置
• 确认来宾用户状态：必须将Google用户添加为本租户来宾用户，且用户已接受邀请。未接受邀请的来宾用户会触发全局安全策略
• 调整MSAL参数：在认证请求中添加domain_hint=google.com参数，避免Azure AD默认路由到微软认证流，从而触发MFA

解决外部微软组织用户AADSTS90072错误 #

• 完成来宾邀请流程：必须先将外部微软组织的用户添加为本租户来宾用户，且用户已接受邀请。错误中的「添加为外部用户」实际就是指添加来宾用户，属于术语表述差异
• 修正MSAL配置：
  • 重定向URL不能仅设置为https://login.microsoftonline.com/，需改为应用实际的回调地址（例如https://your-app-domain.com/auth/callback），原配置会导致路由到Microsoft App Access Panel（即报错中的固定应用ID）
  • 将MSAL的authority设置为https://login.microsoftonline.com/你的租户ID，避免使用通用端点造成租户上下文混淆
• 无需额外添加微软身份提供商：微软组织账户属于Azure AD体系，默认支持来宾邀请，无需额外配置
• 身份提供商路由逻辑：主要通过邮箱域名匹配（例如@gmail.com匹配谷歌，@xxx.onmicrosoft.com匹配对应微软租户），也可通过domain_hint参数指定，避免路由错误

通用验证步骤 #

• 登录Azure AD后台，在「用户」-「来宾用户」中确认所有受邀用户状态为「已接受」
• 使用条件访问的「模拟」功能，测试目标用户访问应用时是否会触发MFA或地域限制
• 开启MSAL调试日志，查看认证请求的参数与响应，排查是否存在路由错误或参数缺失

内容的提问来源于stack exchange，提问作者PerryCollective