Azure AD B2C自定义策略对接外部身份提供商报错AADB2C90289

问题描述 #

已通过Azure AD B2C自定义策略配置外部身份提供商，授权端点传递了正确的acr_values。启动授权流程后可正常跳转至身份提供商登录界面，输入凭证登录后，身份提供商侧日志显示请求成功，但B2C端返回以下错误：

AADB2C90289: We encountered an error connecting to the identity provider. Please try again later.
Correlation ID: ef54294f-2a9d-4e18-bc03-511bcc713cde
Timestamp: 2022-10-10 04:04:09Z
AADB2C90289: We encountered an error connecting to the identity provider. Please try again later.
Correlation ID: 42dc0316-16d5-4f5b-9552-6cc4d2f3e233
Timestamp: 2022-10-10 09:38:51Z

同时出现内部错误提示：

An internal error has occurred., CorrelationID:145303ec-b8e8-4fc1-bd5d-6649bd1fb77f

已确认client_id和client_secret配置正确。

排查步骤 #

• 校验身份提供商响应格式：确认身份提供商返回的授权代码、state参数是否完整且符合OAuth2/OIDC规范，重点检查state值是否与B2C发起请求时的原始state完全一致。
• 核对B2C策略中IDP配置细节：
  • 检查<Metadata>节点内的authorization_endpoint、token_endpoint地址是否正确，确保使用HTTPS协议，无拼写错误。
  • 确认<CryptographicKeys>中的client_secret配置准确，特殊字符未出现转义或遗漏。
• 查看B2C详细操作日志：在Azure门户的B2C资源中，进入「监控」→「日志」，通过Correlation ID检索具体错误详情，日志通常会明确指出是响应解析失败、签名验证错误还是参数缺失等问题。
• 验证IDP侧重定向URI配置：确保身份提供商后台配置的重定向URI与B2C的https://<tenant>.b2clogin.com/<tenant>.onmicrosoft.com/oauth2/authresp完全一致，包括大小写、协议及路径。
• 检查令牌签名算法兼容性：确认身份提供商使用的签名算法（如RS256、HS256）与B2C策略<Metadata>中token_signing_alg_values_expected或IdpSigningKeys配置的算法匹配，算法不匹配会导致B2C无法验证令牌有效性。
• 测试移除acr_values参数：临时在授权端点请求中移除acr_values，验证是否因该参数触发身份提供商返回异常格式的响应。

内容的提问来源于stack exchange，提问作者Anand