如何解决ASP.NET集成Azure AD SAML时的账户查找报错？

结合你描述的情况——老配置突然失效、OAuth应用正常、新注册应用也报相同错误，大概率是Azure AD近期的SAML协议变更和老系统的兼容性问题。给你几个针对性的排查方向：

1. 核对SAML端点与协议版本 #

Azure AD近期对SAML端点做了调整，老配置可能还在使用已废弃的端点：

• 登录Azure AD应用注册的「单一登录」页面，确认登录URL和回复URL完全匹配web.config里的AssertionConsumerServiceUrl，注意大小写、末尾斜杠这类细节
• 检查应用请求的SAML端点是否为最新的SAML 2.0地址：https://login.microsoftonline.com/{你的租户ID}/saml2，老系统可能还在用旧的AD FS风格端点，现在已经不支持了

2. 验证web.config核心配置项 #

老配置的细节容易因为Azure AD的变更失效：

• 确保Issuer值和应用注册里的「标识符(实体ID)完全一致，哪怕多一个空格或者大小写不对都会触发账户查找错误
• 检查证书验证模式：如果web.config里CertificateValidationMode设为ChainTrust，可能因为Azure AD根证书更新导致验证失败，可以临时改成PeerOrChainTrust或者None测试（测试完改回安全模式）
• 确认RequireSsl设为true，现在Azure AD强制HTTPS，非HTTPS请求会被拦截

3. 启用详细日志抓错 #

你说诊断功能报错，那直接在ASP.NET应用里开SAML日志：
在web.config的<configuration>节点下添加：

<system.diagnostics>
  <sources>
    <source name="System.IdentityModel" switchValue="Verbose">
      <listeners>
        <add name="samlTrace" type="System.Diagnostics.XmlWriterTraceListener" initializeData="saml_errors.svclog" />
      </listeners>
    </source>
  </sources>
</system.diagnostics>

触发错误后，打开生成的saml_errors.svclog，里面会有SAML请求/响应的完整细节——比如断言签名不匹配、受众( Audience )无效这类具体错误，这是最精准的排查方式

4. 检查Azure AD的SAML声明与签名设置 #

• 进入应用注册的「用户属性与声明」，确认有没有老应用依赖的必填属性被移除了（比如nameidentifier），如果缺失可以手动添加
• 查看「高级设置」里的签名算法，Azure AD现在默认用SHA-256，老应用可能还在等待SHA-1签名，把算法改成SHA-1测试（如果可行，后续建议升级应用支持SHA-256）

5. 捕获并解码SAML请求 #

用浏览器F12的「网络」面板，捕获重定向到Azure AD的请求，把SAMLRequest参数复制出来，用在线SAML解码器解码后检查：

• Issuer是否正确指向你的应用实体ID
• Destination是否是正确的Azure AD SAML端点
• 请求格式有没有语法错误

因为你的OAuth应用正常，说明租户和用户身份本身没问题，问题肯定出在SAML协议交互的细节上，按照上面的步骤排查应该能定位到原因。

内容的提问来源于stack exchange，提问作者jnghh