跨Azure AD账户的Teams机器人应用无法运行，求解决方案

1. 排查跨租户权限冲突 #

• 由于SSO应用注册在dev1@mycompanyonline.com租户AAD，机器人部署在dev2@mycompanyonline.com租户Azure，需确认两个租户间的权限打通：
  • 登录dev2租户的AAD企业应用页面，检查dev1租户的SSO应用是否已被添加，且配置了机器人服务主体所需的权限（如User.Read）。
  • 验证dev1租户的SSO应用注册是否允许dev2租户的机器人服务主体访问，可在应用注册的API权限>已授予的权限中确认。

2. 验证机器人端点与配置一致性 #

• 测试Azure Bot配置的.../api/messages端点可用性：
  • 用curl或Postman发送POST请求到该端点，确保返回200 OK或符合Bot Framework规范的响应（无超时、证书错误）。
  • 核对SSO应用注册的重定向URI，必须与Teams应用包manifest.json中webApplicationInfo的redirectUri、validDomains完全匹配，不能有域名或路径拼写错误。

3. 查看Teams管理员中心的详细报错 #

• 登录Teams管理员中心，进入应用管理>上传的应用，找到上传失败的应用记录，查看具体错误详情：
  • 这里会暴露权限不足、租户ID不匹配、配置字段缺失等底层问题，是定位故障的核心入口。

4. 核对Teams Toolkit生成的配置文件 #

• 检查Teams Toolkit生成的manifest.json：
  • 确认webApplicationInfo中的id是dev1租户SSO应用的客户端ID，resource指向正确的应用URI。
  • 确保bot字段的id与dev2租户Azure Bot的机器人ID一致，endpoint和Azure Bot配置的端点完全相同。

5. 测试跨租户机器人认证 #

• 在dev2租户的Azure Bot设置中，启用跨租户认证，并将dev1租户ID加入允许列表：
  • 模拟dev1租户用户发起机器人SSO登录，验证认证流程是否正常，排除跨租户认证失败导致的上传报错。

内容的提问来源于stack exchange，提问作者Sana.91