AD B2C自定义OpenID Connect提供商运行User Flow报错排查

问题背景 #

在Azure AD B2C中配置自有OpenID Connect（OIDC）自定义身份提供商，关联到User Flow后运行触发通用错误，页面无明确错误提示，无法直接定位问题。已完成基础配置：新建OIDC类型身份提供商、创建关联该IdP的User Flow。

开启调试能力获取具体错误信息 #

页面返回的通用错误没有排查价值，先通过以下方式拿到真实报错：

• 开启B2C审计日志
  1. 进入AD B2C租户，找到对应User Flow关联的业务应用（即发起登录请求的依赖方应用），先核对认证配置中的重定向URI和实际请求的回调地址完全匹配，注意区分http/https、端口、末尾斜杠的差异
  2. 进入对应User Flow的诊断设置页，将日志投递到同租户下的Log Analytics工作区，复现报错后执行以下查询拉取错误明细：

AuditLogs
| where Category == "B2C" and TimeGenerated > ago(1h)
| where OperationName contains "UserFlow" or OperationName contains "Federation"
| project TimeGenerated, OperationName, ResultDescription, AdditionalDetails
| order by TimeGenerated desc
| take 10

• 抓前端交互请求
  打开浏览器开发者工具（F12），切换到网络面板，勾选「保留日志」，复现报错过程，筛选所有和b2clogin.com、自有OIDC服务端域名相关的请求，重点看302跳转URL中携带的error、error_description参数，以及接口返回的响应体，这里会直接写明错误原因（比如回调地址不匹配、客户端密钥错误、元数据拉取失败等）。

高频配置遗漏点及修复方案 #

90%以上的此类报错都是以下配置问题，逐一核对即可：

• OIDC元数据配置不符合要求
  • 自定义IdP配置页填写的元数据地址（通常以/.well-known/openid-configuration结尾）必须可在公网匿名访问，不能有IP白名单、登录鉴权限制
  • 元数据返回的JSON结构必须完整，必须包含issuer、authorization_endpoint、token_endpoint、jwks_uri四个核心字段，且所有字段对应的URL可正常公网访问
  • 元数据返回的issuer值必须和B2C IdP配置中填写的颁发者值完全一致，末尾多一个斜杠、域名大小写差异都会导致签名校验失败
• 客户端授权配置不匹配
  • B2C IdP配置页填写的客户端ID、客户端密钥，必须和自有OIDC服务端注册B2C客户端时生成的凭据完全一致，注意密钥不要带多余空格
  • 自有OIDC服务端必须给B2C客户端开启授权码（code）流程权限，同时将B2C的联邦回调地址（格式为https://<你的B2C租户域名，一般是xxx.b2clogin.com>/<你的B2C租户ID>/oauth2/authresp）添加到该客户端的允许重定向URI列表中
• 令牌签名配置错误
  • 自有OIDC服务端签发的ID令牌必须使用RS256非对称算法签名，B2C不支持HS256等对称签名算法
  • 元数据中jwks_uri端点返回的公钥集必须包含ID令牌头部kid字段对应的公钥，且公钥可匿名访问
• 作用域配置错误
  • B2C和自有OIDC服务端交互时默认会请求openid作用域，必须确保自有OIDC服务端给B2C客户端开放了该作用域权限；如果额外配置了profile、email等自定义作用域，要逐一确认服务端支持这些作用域，不要填写服务端未定义的作用域值
• 声明映射配置错误
  • 如果配置了自定义用户声明映射，要确保自有OIDC服务端返回的ID令牌中确实包含映射的所有声明字段，不要映射不存在的字段；其中作为用户唯一标识的sub声明必须存在，且值为每个用户的稳定唯一标识

快速定位技巧 #

• 先跳过B2C，直接用Postman等接口调试工具模拟授权码流程，向自有OIDC服务端发起完整的授权、换令牌请求，确认自有OIDC服务本身流程跑通后再对接B2C，排除OIDC服务本身的问题
• 排查时先清空User Flow里的自定义声明、自定义页面配置、API连接器等额外逻辑，只保留最基础的OIDC IdP登录选项，跑通基础流程后再逐步添加自定义配置，定位具体出错的配置项

内容的提问来源于stack exchange，提问作者Ankush Daga