MS Teams Bot GCC High环境OAuthPrompt报Unauthorized异常求助

问题场景 #

基于官方Teams认证模板开发Bot程序，使用OAuthPrompt实现用户身份认证逻辑，在Dialogs/MainDialog.cs中执行return await stepContext.BeginDialogAsync(nameof(OAuthPrompt), null, cancellationToken);代码时，抛出异常：Operation returned an invalid status code 'Unauthorized'，按以下优先级逐一排查修复：

• 核对核心配置一致性
  检查项目配置文件（通常为appsettings.json）中填写的MicrosoftAppId、MicrosoftAppPassword取值，和Azure Bot资源配置页的Microsoft应用ID、客户端机密值完全匹配；客户端机密过期是该场景下触发401的高频原因，确认机密过期后重新生成AAD应用机密，同步更新两处配置即可修复。
• 验证OAuth连接可用性
  进入Azure Bot资源的配置页，找到绑定到OAuthPrompt的OAuth连接条目，点击「测试连接」按钮验证授权流程：
  • 若测试连接直接返回401，核对连接配置内的客户端ID、客户端机密、租户ID、授权范围，和AAD应用注册页的配置完全一致
  • 若配置了需要管理员同意的组织范围权限，确认相关权限已完成租户管理员授权确认
• 检查渠道与端点配置
  确认Azure Bot已正常启用Teams渠道，渠道运行状态无异常；消息传递端点配置为公网可访问地址，地址后缀为/api/messages；本地调试时使用的内网穿透映射地址（如ngrok生成的公网地址）已同步更新到消息传递端点配置项，地址变更后未同步是本地调试触发401的常见原因。
• 校验代码内配置匹配度
  检查Startup.cs中的Dialog注册逻辑，确认OAuthPrompt初始化时传入的ConnectionName参数，和Azure侧配置的OAuth连接名称完全一致（该字段大小写敏感），OAuthPrompt实例的Dialog ID和调用BeginDialogAsync时传入的Dialog ID匹配。
• 适配云环境差异
  如果使用主权云环境（如世纪互联运营的国内Azure、Azure政府云），不要使用SDK默认的公网服务端点，需要在Bot初始化时手动指定对应环境的OAuth认证端点、Bot服务API地址，否则会因为令牌签发域不匹配触发401。
• 校验Teams应用清单配置
  检查Teams应用上传使用的manifest.json文件，确认webApplicationInfo节点下的应用ID、资源字段和AAD应用注册信息一致；不要在非Teams渠道（如本地Bot模拟器、网页直连渠道）直接调用绑定Teams身份体系的OAuthPrompt逻辑，跨渠道调用会直接返回未授权。
• 核对AAD应用支持账户类型
  如果应用仅面向组织内部用户使用，不要将AAD应用的支持账户类型设置为「任意组织目录+个人Microsoft账户」，跨租户账户类型配置如果未做对应授权适配，会在认证阶段触发401错误。

内容的提问来源于stack exchange，提问作者Vivek