Visual Studio搭配Azure AD：租户错误致请求被拦截问题咨询

问题场景 #

Visual Studio账户设置中添加了多个账户：

• 持有VS许可证，但和项目依赖的Azure AD认证无关的账户
• 无VS许可证，但关联项目所需Azure AD的账户
• （可选）关联其他服务（如GitHub）的企业Azure AD账户

本地启动需Azure AD认证的项目时，服务实例化阶段抛出401未授权错误：

Unauthorized (401); (...) Reason: (Request blocked by Auth your-resource-in-azure: Provided AAD token was issued by the authority [aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee] which is not trusted by this database account. Please ensure the token has been issued by the AAD tenant(s) [00000000-1111-2222-3333-444444444444].

排查后发现，错误中提示的「可信租户GUID」是VS许可证账户的租户，而非项目依赖的目标Azure AD租户。

排查过的无效操作 #

• 确认项目认证配置（连接字符串、密钥等）无误
• 检查Azure AD中用户归属的组权限
• 确认无需PIM临时授权
• 切换VS的账户认证浏览器为系统浏览器，重新登录后重启VS

解决方案 #

1. 分离VS许可证账户和Azure服务认证账户 #

在Visual Studio「账户设置」面板中：

• 选中持有VS许可证的账户，点击「设置为产品许可证账户」（部分VS版本在账户右键菜单或账户详情中设置），确保VS仅用该账户验证授权
• 选中关联目标Azure AD的账户，确认其已登录且权限正常

2. 为项目指定专属的Azure认证账户 #

• 针对Web/云项目：右键项目 → 「属性」→ 「调试」，找到「身份验证」或「Azure服务连接」模块，选择关联目标Azure AD的账户作为默认认证账户
• 针对云资源连接：打开VS「云资源管理器」，找到项目依赖的Azure资源（如Azure SQL、Storage），右键选择「更改连接账户」，切换到正确的Azure AD关联账户

3. 清理VS缓存的身份令牌 #

VS会缓存账户的认证令牌，可能导致租户混淆：

• 完全关闭Visual Studio
• 打开文件资源管理器，定位到%LOCALAPPDATA%\.IdentityService目录，删除其中所有文件
• 重启VS，重新登录所有必要账户

4. 配置账户权限作用域 #

在VS「账户设置」中，点击每个账户的「管理权限」：

• 限制VS许可证账户的权限范围，仅保留「Visual Studio许可证」相关权限
• 确保关联Azure AD的账户拥有目标Azure资源的访问权限（如SQL DB的登录权限、Storage的读写权限）

内容的提问来源于stack exchange，提问作者jeancallisti