使用MSAL.NET获取当前登录用户令牌时遇租户未找到错误求助

问题场景 #

使用MSAL.NET获取当前登录用户令牌，创建PublicClientApplication实例的代码如下：

_clientApp = PublicClientApplicationBuilder.Create(ClientId)
    .WithAuthority(AzureCloudInstance.AzurePublic, Tenant)
    .WithBroker()
    .WithDefaultRedirectUri()
    .Build();

随后调用AcquireTokenSilent方法：

var firstAccount = Microsoft.Identity.Client.PublicClientApplication.OperatingSystemAccount;
authResult = await _clientApp.AcquireTokenSilent(scopes, firstAccount)

执行后抛出MsalServiceException，错误提示租户75950cd6-4468-4918-b750-966c6b4fa3d1未找到，但该ID并非代码中配置的租户ID，也未在代码中出现。

补充信息：

• 应用注册的重定向URI设置为ms-appx-web://microsoft.aad.brokerplugin/<my application SID>
• 应用仅针对域注册，设备已加入域
• 基本遵循微软Windows桌面教程，仅做三处修改：
  1. 使用上述重定向URI
  2. 创建MSAL应用时添加.WithBroker()
  3. 使用OperatingSystemAccount替代教程中首次为空的账户列表

解决建议 #

1. 排查Broker关联账户的租户属性
   错误中的租户ID 75950cd6-4468-4918-b750-966c6b4fa3d1 是微软公共租户（用于个人MSA账户），出现该问题的核心原因是：系统当前登录的操作系统账户关联了MSA账户，而非你的企业域账户。直接调用OperatingSystemAccount会获取该系统账户，但它并未与目标租户绑定。

2. 替换账户获取逻辑
   不要直接使用OperatingSystemAccount，改为通过MSAL查询缓存中与目标租户匹配的账户：

   // 获取缓存中所有账户
   var accounts = await _clientApp.GetAccountsAsync();
   // 筛选属于目标租户的账户
   var targetAccount = accounts.FirstOrDefault(a => a.HomeAccountId.TenantId == Tenant);
   
   if (targetAccount != null)
   {
       authResult = await _clientApp.AcquireTokenSilent(scopes, targetAccount)
           .ExecuteAsync();
   }
   else
   {
       // 无匹配账户时触发交互式登录，完成首次认证并缓存账户
       authResult = await _clientApp.AcquireTokenInteractive(scopes)
           .ExecuteAsync();
   }
   

3. 验证Broker与重定向URI配置

   • 启用.WithBroker()后，MSAL会自动生成适配Broker的重定向URI，手动配置的ms-appx-web://microsoft.aad.brokerplugin/<SID>可能与自动生成的URI不匹配，建议注释掉手动配置，依赖.WithDefaultRedirectUri()自动处理。
   • 确认应用注册中已勾选"公共客户端"选项，且设备已正确加入企业域，域账户已在目标Azure AD租户中存在。

4. 处理首次登录流程
   首次运行应用时，缓存中无任何账户，必须先通过交互式登录（如AcquireTokenInteractive）完成认证，将账户信息存入缓存后，才能使用AcquireTokenSilent静默获取令牌。跳过交互式步骤直接使用OperatingSystemAccount会导致Broker尝试使用不匹配的租户信息发起请求。

内容的提问来源于stack exchange，提问作者Uri London