K8s部署带AzureAD认证的.NET Core API出现RemoteCertificateNameMismatch错误

问题诊断 #

报错对应的是Azure AD OpenID Connect（OIDC）元数据服务的证书校验失败。

你的ASP.NET Core应用在首次处理需要身份验证的请求时，会自动向配置的Azure AD Authority地址拉取OIDC元数据配置（包含签名公钥、合法Issuer等核心信息），这个请求触发了SSL校验异常。RemoteCertificateNameMismatch错误代表请求实际拿到的证书域名，和你配置的Azure AD请求目标域名不匹配。

出现部分Pod正常、部分Pod持续报错的核心原因是集群内部DNS解析异常：集群的DNS服务器存在配置不一致的问题，部分Pod解析Azure AD公网域名时被错误劫持到了内部NGINX Ingress地址，拿到的是你业务的自有证书，自然和Azure AD的公网域名校验不匹配。

你可以进入报错的Pod执行以下命令验证问题：

# 替换为你实际配置的Azure AD实例域名，比如国内是login.partner.microsoftonline.cn，国际版是login.microsoftonline.com
nslookup login.microsoftonline.com
# 替换为你实际的Authority地址的元数据路径
curl -v https://login.microsoftonline.com/你的租户ID/v2.0/.well-known/openid-configuration

如果nslookup返回的是集群内部Ingress的IP、curl返回的证书是你自己的业务证书，即可确认是DNS劫持问题。

修复措施 #

1. 修复集群DNS解析规则
   排查集群CoreDNS配置，删除对Azure AD相关公网域名的错误解析/劫持规则，确保所有Pod对这类公网域名的解析可以返回正确的公网IP。如果你们用了水平分割DNS（Split-horizon DNS），需要把Azure AD相关域名排除在内部解析列表之外。

2. 核对应用身份配置
   检查appsettings.json中AzureAd:Instance、AzureAd:TenantId配置项，确认拼接生成的Authority地址是正确的Azure AD官方地址，没有误写为你自己的业务域名。

3. 配置转发头适配反向代理环境
   你的应用跑在NGINX Ingress后面，需要显式开启转发头解析，避免身份验证中间件生成错误的回调地址或Issuer校验失败，在Startup.cs或Program.cs中添加如下配置：

// 服务注册阶段添加
services.Configure<ForwardedHeadersOptions>(options =>
{
    options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto | ForwardedHeaders.XForwardedHost;
    // 生产环境建议替换为你集群Ingress的实际IP段，避免恶意伪造转发头
    options.KnownNetworks.Clear();
    options.KnownProxies.Clear();
});

// 中间件管道最开头添加，必须排在身份验证中间件之前
app.UseForwardedHeaders();
app.UseAuthentication();
app.UseAuthorization();

以上方案不需要禁用证书校验，完全符合安全要求。

内容的提问来源于stack exchange，提问作者Breenono