多租户AD应用登录失败：AADSTS700016错误原因排查求助

你遇到的AADSTS700016错误核心是Azure AD在租户A的目录里找不到应用B的服务主体，即便应用B已经配置为多租户，下面是几个最可能的原因及对应的解决思路：

• 应用B未在租户A中创建服务主体（未完成同意流程）
  多租户应用默认不会自动在所有租户中生成服务主体，只有当租户A的用户或管理员首次同意该应用的权限请求后，Azure AD才会在租户A的目录中创建应用B的服务主体实例。你当前的请求直接尝试获取令牌，但还未触发同意流程——正常情况下首次访问应该会跳转到权限同意页面，若没有出现，大概率是租户A的用户同意策略被管理员禁用，导致无法发起同意请求，进而Azure AD找不到对应应用。

  解决方法：可以让租户A的管理员执行管理员同意（通过Azure Portal或者构造管理员同意URL：https://login.microsoftonline.com/common/adminconsent?client_id=a573ddda-b34a-4206-a73b-d67ff6e98aec&redirect_uri=http%3A%2F%2Flocalhost%2Fmyapp%2F），完成后租户A的目录中就会存在应用B的服务主体，用户A后续就能正常获取令牌了。

• 应用B的多租户配置未正确生效
  请再次核对应用B的注册配置：在Azure Portal的应用注册页面，检查支持的账户类型是否设置为任何组织目录中的账户（任何 Azure AD 目录 - 多租户），而非仅限租户B的账户。如果之前修改了配置但未保存，或者刚完成配置还处于同步延迟（虽然概率极低，但可能需要几分钟生效），也会导致租户A无法识别该应用。

• 租户A的应用访问限制拦截
  如果租户A的管理员设置了应用访问策略，比如仅允许预批准的应用访问租户资源，那么即便应用B是多租户，也会被拦截，导致Azure AD在租户A中找不到该应用。这种情况下需要租户A的管理员将应用B添加到允许列表中。

• 重定向URI配置不匹配（边缘情况）
  虽然错误信息指向找不到应用，但如果你的redirect_uri未在应用B的注册页面中正确配置（比如编码不一致、路径错误、大小写不匹配），偶尔也会触发类似的错误提示。请核对应用B的"身份验证"设置里的重定向URI，确保和请求中的http://localhost/myapp/完全一致（包括协议、域名、路径）。

内容的提问来源于stack exchange，提问作者user3740951