ASP.NET Core应用Azure Active Directory预发布环境登录失败

我有一个采用Azure Active Directory（AD，即Microsoft登录）认证的ASP.NET Core Web应用，设有开发、预发布（staging）及生产环境。开发环境的AD登录功能正常，但预发布环境使用同一账号登录时出现报错，提示：

登录成功，但不符合访问此资源的条件。例如，您可能从管理员限制的浏览器、应用或位置登录

已尝试在网络选项卡中添加公网IP至允许列表，但问题仍未解决。

以下是针对该问题的具体排查步骤：

• 检查Azure AD应用注册的重定向URI
  确认预发布环境的完整HTTPS URI已添加到Azure AD应用注册的「身份验证」→「重定向URI」列表中，且类型与应用匹配（Web应用选「Web」类型）。开发环境正常往往是因为已配置本地开发URI，预发布环境的URI可能被遗漏。

• 验证条件访问策略
  登录Azure门户进入Azure AD →「条件访问」：

  • 检查是否存在针对该应用或用户组的限制策略（如位置限制、设备合规要求、浏览器类型限制等），确认预发布应用未被纳入此类策略。
  • 若有针对「所有云应用」的策略，需确认测试账号是否符合该策略的访问条件，可临时将测试账号排除出策略验证是否解决问题。

• 核对企业应用的用户分配
  进入Azure AD →「企业应用」找到对应预发布应用：

  • 检查「属性」中「是否启用用户登录?」是否设置为「是」。
  • 查看「用户和组」，确认测试账号已被分配到允许访问的列表中，无排除或未分配情况。

• 验证应用配置参数
  检查预发布环境的appsettings.json或环境变量中的Azure AD配置：

  • 确保ClientId、TenantId、Instance等参数与开发环境一致（或对应正确的预发布应用注册）。
  • 确认CallbackPath与Azure AD中设置的重定向URI路径部分完全匹配（如/signin-oidc）。

• 排查浏览器缓存与会话问题
  清除浏览器的Azure AD相关Cookie和缓存，或使用无痕模式登录，排除本地会话缓存干扰。

• 查看Azure AD登录日志
  进入Azure AD →「登录日志」，筛选测试账号与预发布应用的记录：

  • 查看「状态」和「原因」字段获取具体失败细节（如条件访问阻止、权限不足等），日志中的错误代码和描述可精准定位问题。

内容的提问来源于stack exchange，提问作者Janak Darji