本地IIS托管集成Azure AD Bearer认证的Web API时OWIN start.cs报错

在SPA应用中集成Azure AD身份认证能力，基于OWIN Startup类完成令牌校验逻辑，本地开发环境运行无异常；将发布后的代码部署到本地IIS服务器托管Web API时抛出异常，项目引用Microsoft.Owin.Security.ActiveDirectory版本为4.2.2.0。

令牌校验核心实现代码：

app.UseWindowsAzureActiveDirectoryBearerAuthentication(new WindowsAzureActiveDirectoryBearerAuthenticationOptions
{
    Tenant = tenant,
    TokenValidationParameters = new TokenValidationParameters
    {
        //ValidAudiences = new[] { Audience },
        ValidAudience = validateAudience,
        ValidateIssuer = false,
        ValidIssuers = new[] { ValidIssuers }
    }
});

异常现场截图：

从异常信息IDX10803: Unable to obtain configuration from: 'https://login.microsoftonline.com/{tenantId}/.well-known/openid-configuration'可以定位核心原因：OWIN认证中间件启动时，无法拉取Azure AD租户的OpenID Connect公共元数据（包含令牌签名公钥、发行者信息等校验必需内容）。本地开发正常、IIS部署报错基本为部署环境配置差异导致，按以下优先级排查：

• 验证IIS服务器到Azure AD端点的出站连通性
  直接登录部署Web API的服务器，在服务器本地浏览器访问报错信息中的元数据地址，确认是否能正常返回JSON格式的元数据内容。如果无法访问：
  • 若企业内网服务器需要通过代理访问公网，OWIN中间件默认不会读取系统代理配置，需要在Web项目的web.config中添加全局代理配置，放在<configuration>根节点下：

    <system.net>
      <defaultProxy useDefaultCredentials="true">
        <proxy proxyaddress="http://你的代理服务地址:端口" bypassonlocal="true" />
      </defaultProxy>
    </system.net>
    

  • 检查服务器本地防火墙、终端安全软件、出口网络策略，确认已经放通到login.microsoftonline.com的443端口出站访问权限，无HTTPS拦截规则。
• 修复IIS应用池权限配置问题
  本地开发时使用IIS Express，运行身份为当前登录用户，部署到IIS后默认使用低权限的应用池标识运行，会导致两类常见问题：
  • 应用池标识无权限访问系统证书存储，无法完成HTTPS请求的证书链校验：打开IIS管理器，找到对应站点使用的应用池，进入高级设置，将进程模型下的加载用户配置文件选项设置为True后重启应用池。
  • 应用池运行账号无公网/代理访问权限：可以临时将应用池标识修改为本地管理员账号测试，如果修改后异常消失，再根据实际权限要求逐步收缩账号权限，不要长期用高权限账号运行服务。
• 修复TLS版本兼容问题
  Azure AD身份端点已经禁用TLS 1.0/1.1协议，低版本Windows Server默认未启用TLS 1.2，会导致HTTPS握手失败。在OWIN Startup类的配置方法最开头，添加代码强制启用兼容的TLS协议版本：

  // 该代码必须放在所有认证中间件配置逻辑之前执行
  ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls11 | SecurityProtocolType.Tls;
  

  如果是Windows Server 2012 R2及更早版本，需要先安装对应系统的TLS 1.2支持补丁，再通过注册表配置Schannel组件默认启用TLS 1.2协议。
• 优化元数据拉取配置
  针对网络偶发抖动导致首次拉取元数据超时的场景，可以适当延长后台请求超时时间，在认证中间件配置中添加参数：

  app.UseWindowsAzureActiveDirectoryBearerAuthentication(new WindowsAzureActiveDirectoryBearerAuthenticationOptions
  {
      Tenant = tenant,
      BackchannelTimeout = TimeSpan.FromSeconds(60), // 将元数据拉取超时调整为60秒
      TokenValidationParameters = new TokenValidationParameters
      {
          ValidAudience = validateAudience,
          ValidateIssuer = false,
          ValidIssuers = new[] { ValidIssuers }
      }
  });
  

注意：不要为了临时绕过问题直接关闭元数据自动拉取和签名验证逻辑，会导致令牌校验失效，存在伪造令牌绕过认证的安全风险。

内容的提问来源于stack exchange，提问作者manoj kumar