GCP自定义域名对接Azure AD登录报AADSTS700016错误求助

问题描述 #

我已成功在Google App Engine部署Node.js应用，默认域名https://mydomain-473829.uc.r.appspot.com可正常登录，但使用自定义子域名https://api.mydomain.com登录时，出现错误：

AADSTS700016: Application with identifier 'guid' was not found in the directory 'directory-id'. This can happen if the application has not been installed by the administrator of the tenant or consented to by any user in the tenant. You may have sent your authentication request to the wrong tenant.

深入疑问与解答 #

1. 该错误源于GCP还是Microsoft？
   这个错误是Microsoft Azure AD（AAD）抛出的，和GCP无关。AADSTS开头的错误码是Azure Active Directory的专属错误标识，说明身份验证请求发送到Azure AD后，系统找不到对应的应用实例或租户信息。

2. 两个域名指向同一端点，为何默认域名正常，自定义域名无法匹配正确租户？
   核心原因是Azure AD应用注册的配置和请求参数不匹配：

   • 你可能仅在Azure AD应用注册中添加了默认域名的重定向URI，未将自定义子域名的回调地址加入允许列表；
   • 应用代码中可能硬编码了默认域名作为身份请求的redirectUri、audience或issuer参数，导致自定义域名请求时，Azure AD识别不到对应的应用；
   • 检查GCP自定义域名配置后的请求头，比如Host头是否被正确传递，若应用依赖该头构造身份请求，可能出现参数错误。

3. 当前应用为单租户，是否需要配置其他租户授权？
   单租户模式下不需要其他租户授权，但要确保两点：

   • 自定义域名的请求始终指向正确的租户ID，避免代码中硬编码默认域名对应的租户参数；
   • 若自定义域名需要关联租户域名，需确认该域名已在Azure AD租户中完成验证。

4. 是否需要修改代码？若需要我可补充相关信息。
   大概率需要调整代码或配置，重点检查以下几点：

   • 身份验证库（如msal-node、passport-azure-ad）的配置中，redirectUri是否动态获取当前请求的域名（比如从req.headers.host拼接），而非硬编码默认域名；
   • 确认clientID、tenantID等核心参数在自定义域名请求时未被错误覆盖；
   • 检查是否存在基于域名的分支逻辑，导致自定义域名请求时使用了错误的Azure AD参数；
   • 验证授权请求中的state、nonce等参数是否与当前域名绑定，避免冲突。
     若需要更精准的修改建议，可以补充身份验证代码片段和Azure AD应用注册的配置细节。

内容的提问来源于stack exchange，提问作者powerlordx1