域加入设备通过IWA静默认证Azure AD报AADSTS65001问题咨询

环境与目标 #

• 所有Windows设备均已加入本地域，通过Azure AD Connect Sync实现本地域与Azure AD的连通
• 目标：基于设备当前登录用户的上下文完成Azure侧的无感知认证

方案选型与前置操作 #

• 对照MSAL认证流官方文档，选定Integrated Windows authentication (IWA) 认证方案。根据官方说明，该方案支持域加入或Azure AD加入设备上的应用无需弹出任何用户UI，即可静默获取访问令牌。
• 参照官方active-directory-dotnet-iwa-v2示例项目开展验证，按照操作指引完成了应用注册，仅跳过步骤2（可选环节）「注册客户端应用」下的第6项操作：该步骤指引说明，权限完成正确分配后，因客户端应用不支持交互能力，无法弹出同意窗口供用户确认授权，需要点击Grant/revoke admin consent for {tenant}按钮，为租户内所有账户授予所请求权限的管理员同意。

待澄清疑问 #

1. 指引中提到的「客户端不允许交互」具体指代什么交互场景？
2. 当前权限配置页中Admin consent required字段值为No，因操作人并非租户管理员，观察到Grant admin consent for ...按钮为灰色不可点击状态，推测是当前无需要授予的权限（添加对应权限后按钮会变为激活状态），该推测是否成立？

报错现象 #

将获取到的TenantId、应用ClientId填入示例项目配置后运行，程序抛出如下错误：

AADSTS65001: The user or administrator has not consented to use the application with ID 'b5e9bd68-5326-44ff-9fc6-c933227708ff' named 'foo-bar'. Send an interactive authorization request for this user and resource. Trace ID: 77c69007-80cb-4eb2-b60b-f029928c5f00 Correlation ID: 63be7460-11e6-49b2-88b9-a3b56025ee43 Timestamp: 2022-06-27 23:08:08Z

核心问题 #

错误提示要求发送交互式授权请求，但IWA方案的设计初衷本就是实现用户无感知的静默认证、无需任何交互，为什么会出现该报错，缺失了哪些配置环节？

关于「客户端不允许交互」的定义 #

这里的交互特指所有需要用户手动操作的认证、授权环节：包括弹出登录窗口让用户输入账号密码、弹出权限同意窗口让用户点击「接受」授权应用访问资源、MFA二次验证弹窗等。IWA的身份校验依赖当前Windows登录会话的Kerberos票据，全程不会拉起浏览器或系统认证弹窗，没有入口承载上述需要用户手动确认的操作。

关于管理员同意按钮置灰的判断 #

你的推测不成立。按钮置灰只有两类原因：

• 当前登录Azure Portal的账号没有对应权限，只有全局管理员、应用管理员、云应用管理员三类角色有权限操作租户级管理员同意，哪怕存在待授予的权限，普通账号看到的按钮也是灰色不可点击状态
• Admin consent required字段显示No仅代表当前配置的权限不需要租户管理员做全租户统一授权，不代表可以跳过授权流程。所有委托类权限哪怕不需要管理员同意，首次使用时也需要用户本人完成一次授权确认，而IWA没有交互弹窗，无法承载这个用户级同意的步骤，就会触发65001错误。

AADSTS65001报错根因与修复方案 #

这个报错和IWA的静默设计不存在冲突，本质是Azure AD侧不存在当前应用对应用户的授权记录，IWA无法通过交互流程补全授权步骤，因此直接抛出错误，按以下步骤排查修复即可：

• 优先联系租户管理员登录应用注册的权限配置页，不考虑Admin consent required字段的显示值，直接点击Grant admin consent for {租户名}按钮完成全租户预授权。这一步完成后，租户内所有用户登录该应用时不需要再手动确认同意，IWA流程可以直接获取令牌。
• 如果暂时无法联系到管理员，可以先用同一个ClientId搭建一个支持交互流的测试客户端（比如开启了交互登录的控制台应用，或者直接通过浏览器访问应用的登录端点），用测试用的域账号完成一次交互式登录，手动点击同意完成授权。授权记录会保存在Azure AD中，后续再运行IWA流程就不会触发该报错。
• 额外检查两项配置：一是确认给应用配置的是委托权限而非应用权限，IWA流仅支持委托权限，不支持应用权限；二是确认应用认证页的重定向URI类型为公共客户端，不要配置为Web类型，同时打开「将应用视为公共客户端」的开关。

内容的提问来源于stack exchange，提问作者greatvovan