AADSTS75011错误Chrome SSO正常Edge失效相关问题咨询

报错核心原因 #

这个报错本质是身份验证时你实际使用的验证方式，和服务端要求的*AuthnContextClassRef（验证方法参考规则）*不匹配，直接触发了拦截。
你遇到的Chrome正常、Edge失效的场景，核心就是两款浏览器触发的身份验证流程不一致，导致最终提交的验证方式不符合服务要求。

1. 仅更换不同浏览器是否会改变认证上下文？ #

会。
不同浏览器的本地身份数据缓存（Cookie、已保存的身份凭证）、安全配置、对企业身份协议的支持逻辑都可能存在差异：比如Chrome中你已经提前用符合要求的方式完成过高等级验证，缓存的凭证可以直接用于SSO校验；但Edge中要么没有对应缓存，要么Edge的本地策略/安全配置限制了某种验证方式的调用（比如禁用了Windows Hello、企业证书的读取权限），导致你实际用了更低等级的验证方式（比如只输了账号密码，没走要求的多因素验证），就会触发该报错。

2. 除浏览器差异外，还有哪些会导致认证上下文变更的情况？ #

• 网络环境切换：从公司内网信任IP段切换到公网访问，服务端会自动提升验证等级要求
• 访问设备变更：从已合规的企业托管设备换成未注册的个人设备，验证规则会发生变化
• 访问资源调整：从访问普通办公资源换成访问高敏感的核心业务系统，服务端会要求更强的验证方式
• 凭证过期：之前缓存的有效验证凭证到期失效，重新验证时如果用了和之前不一样的方式，也会出现不匹配问题

3. 目前常见的认证上下文类型有哪些？ #

• 基础密码验证：仅要求提交账号密码即可通过
• 多因素验证（MFA）：要求在密码之外额外提交第二种验证凭证（验证器APP通知、短信验证码、硬件密钥等）
• 设备合规验证：要求访问设备必须是企业托管、且符合企业安全策略的设备
• 混合域设备验证：要求设备已经加入企业本地AD和Azure AD的混合域架构
• 无密码验证：要求必须使用FIDO2硬件密钥、Windows Hello等无密码方式完成验证
• 可信位置验证：要求访问来源必须是企业配置的可信IP段内

内容的提问来源于stack exchange，提问作者Vineeth Vishwanath