Firefox访问配置Azure AD认证的Ansible Tower时SSO窗口无法弹出

1. Firefox浏览器侧排查（优先验证，隐私窗口有特殊限制规则） #

• 检查弹窗拦截配置：点击地址栏左侧的拦截提示图标，临时允许Ansible Tower站点的弹窗权限，也可进入about:preferences#privacy页面，在「弹出式窗口拦截」例外列表中添加Ansible Tower域名。
• 关闭增强跟踪保护：Firefox隐私窗口默认开启严格跟踪防护，可能拦截Azure AD跨域认证请求，点击地址栏左侧盾牌图标，关闭当前站点的增强跟踪保护后重试。
• 排查扩展影响：若你配置了隐私窗口允许运行扩展，临时禁用所有扩展后重试，广告拦截、脚本拦截、隐私防护类扩展是高风险拦截项。
• 验证第三方Cookie权限：Azure AD SSO流程依赖第三方Cookie存储认证凭据，进入about:preferences#privacy页面，找到「Cookie和站点数据」板块，确认未勾选「始终在隐私窗口中阻止第三方Cookie」，也可将Ansible Tower域名添加到第三方Cookie允许列表。
• 交叉验证环境：用同设备的Firefox普通窗口、Edge/Chrome等其他浏览器测试登录流程，若其他环境正常即可排除系统和服务端问题，锁定为Firefox配置问题。

2. Windows系统侧排查 #

• 检查默认浏览器配置：部分SSO弹窗调用依赖系统默认浏览器关联规则，确认Windows默认浏览器设置未被篡改，重置默认浏览器配置后重试。
• 验证网络拦截规则：临时关闭系统防火墙、EDR/终端安全软件后重试，确认是否是安全规则拦截了Firefox访问Azure AD的请求。
• 检查设备Azure AD状态：运行dsregcmd /status命令，确认当前设备的Azure AD加入状态正常，无过期、离线等异常，设备认证异常会导致SSO流程无法触发。

3. 服务端配置&请求日志排查 #

• 查看浏览器请求报错：按F12打开开发者工具，点击登录按钮后查看「控制台」是否有JS报错、CORS跨域报错，「网络」标签页查看发往Azure AD的请求是否被拦截、返回4xx/5xx错误，根据报错信息定位具体根因。
• 确认Ansible Tower认证配置无变动：核对Azure AD身份验证的回调地址、客户端ID、租户ID等配置项未被修改，相关权限配置未过期。
• 确认Azure AD应用状态正常：检查Ansible Tower对应的Azure AD企业应用未被禁用，用户权限分配、条件访问策略未发生拦截当前登录用户/设备的变动。

内容的提问来源于stack exchange，提问作者Daniel