Azure AD证书身份认证无证书弹窗问题求助

核心问题分析 #

• 主体备用名称（SAN）格式错误：Azure AD要求用户证书的SAN字段必须包含用户的UPN（用户主体名称），但你当前使用的PrincipalName并非标准SAN字段类型，Azure AD无法识别。正确的UPN需要通过otherName类型在SAN中定义。
• 缺少必要证书扩展：用户证书未配置密钥用法和扩展密钥用法（客户端认证），这是Azure AD识别客户端证书的必要条件。
• 命令参数冗余冲突：生成用户证书时重复指定-subj参数，可能覆盖CSR中的配置逻辑。

修复步骤 #

1. 修正OpenSSL配置文件（openssl.cnf） #

更新配置文件，添加正确的UPN标识、密钥用法和扩展密钥用法：

[ req ]
default_bits       = 4096
distinguished_name = req_distinguished_name
req_extensions     = v3_req
x509_extensions     = v3_req

[ req_distinguished_name ]
countryName                 = US
stateOrProvinceName         = CA
localityName               = YourCity
organizationName           = MyOrg, Inc.
commonName                 = user1@test.com

[ v3_req ]
# 密钥用法：数字签名、密钥加密
keyUsage = digitalSignature, keyEncipherment
# 扩展密钥用法：客户端认证
extendedKeyUsage = clientAuth
# 配置UPN作为SAN的otherName类型
subjectAltName = @alt_names

[ alt_names ]
# 格式：otherName:微软UPN OID;UTF8:<你的UPN>
otherName = 1.3.6.1.4.1.311.20.2.3;UTF8:user1@test.com

注：1.3.6.1.4.1.311.20.2.3是微软定义的UPN专属OID，必须严格遵循此格式配置。

2. 重新生成用户证书 #

使用修正后的配置文件，简化命令避免参数冲突：

# 1. 生成用户私钥
openssl genrsa -out user1.key 4096
# 2. 生成CSR（无需重复指定-subj，配置文件已定义）
openssl req -new -key user1.key -out user1.csr -config openssl.cnf
# 3. 用自签名CA签发用户证书
openssl x509 -req -in user1.csr -CA certAuth.crt -CAkey certAuth.key -CAcreateserial -out user1.crt -days 365 -sha256 -extensions v3_req -extfile openssl.cnf

3. 验证证书正确性 #

生成证书后，执行以下命令检查扩展是否符合要求：

openssl x509 -in user1.crt -text -noout

需确认以下内容存在：

• X509v3 Key Usage: Digital Signature, Key Encipherment
• X509v3 Extended Key Usage: TLS Web Client Authentication
• X509v3 Subject Alternative Name: otherName:1.3.6.1.4.1.311.20.2.3;UTF8:user1@test.com

4. 证书安装注意事项 #

• 将用户证书（含私钥）导入Windows的当前用户→个人→证书存储，而非本地计算机存储。
• 确保CA证书导入到当前用户→受信任的根证书颁发机构或本地计算机→受信任的根证书颁发机构。

额外排查点 #

• 确认Azure AD中已启用证书认证，且上传的CA证书状态为已验证（Azure AD会自动校验CA证书链完整性）。
• 清除浏览器缓存并重启，避免旧登录会话干扰。
• 暂时移除Windows证书存储中无关证书，排除干扰项。

内容的提问来源于stack exchange，提问作者Tina