使用SamlAssertion获取Graph API令牌时Azure AD报联合领域对象不存在如何解决

• SAML断言中的Issuer字段值与Azure AD租户内配置的可信身份提供商实体ID不匹配，这是该错误的最高发诱因。Azure AD会先校验断言签发方是否为租户内已登记的可信身份源，匹配失败就会抛出找不到联合领域对象的报错。
• 租户内配置的联合身份信任关系已被删除、禁用，或是配置参数错误，比如关联的应用ID、租户ID与实际请求参数不符。
• 请求OAuth2令牌时传入的租户参数错误，若使用common作为租户标识，或是填写了错误的租户ID，Azure AD无法在对应租户定位到匹配的联合配置。
• SAML断言的Audience字段配置错误，值与你请求令牌的Azure AD端点地址不匹配。

• 先提取你提交的SAML断言中的Issuer字段值，和Azure AD门户中对应企业应用/身份提供商配置里的「标识符（实体ID）」做逐字符对比，确保完全一致，注意大小写、末尾斜杠这类容易忽略的差异。
• 检查Azure AD租户内的联合身份配置，确认你使用的身份提供商处于启用状态，关联的应用ID、租户ID和你当前请求时用的参数完全匹配。
• 将令牌请求的租户参数替换为你实际的Azure AD租户ID或已验证的租户域名，不要使用common、organizations这类泛租户标识。
• 校验SAML断言的Audience字段，确保值与你请求令牌的端点地址完全匹配，v2端点格式为https://login.microsoftonline.com/{实际租户ID}/oauth2/v2.0/token。
• 确认你用来请求令牌的应用注册已开启SAML bearer断言流的相关权限，可在应用清单中检查对应配置项是否开启。

内容的提问来源于stack exchange，提问作者Mirko