使用X509证书实现应用对接Azure AD认证时访问被拒问题咨询

1. 关于X509证书代码的必要性说明 #

常规基于OpenID Connect的Azure AD用户单点登录流程不需要额外添加X509证书相关代码。你参考的证书认证逻辑属于*客户端双向TLS认证（mTLS）*场景的专属配置，仅当你需要要求访问应用的客户端必须携带指定可信证书时才需要配置，和普通用户账号密码/企业身份登录的SSO场景完全独立，无需额外引入相关代码。

你当前请求未执行到Login.aspx代码，是因为OWIN中间件在ASP.NET请求管道的更早阶段就触发了认证逻辑，认证失败直接抛出Access Denied错误，请求不会进入后续的页面生命周期。

2. Access Denied错误排查及认证流程修复步骤 #

• 检查Azure AD应用注册的重定向URI配置：确保你在Azure门户中填写的Web平台重定向URI，和Startup代码中配置的RedirectUri完全一致，注意协议头（http/https）、域名、端口、路径必须完全匹配，默认OWIN OpenID Connect中间件的回调路径为/signin-oidc，需要同步添加到应用注册的重定向URI列表中。
• 检查Startup中间件配置顺序：确保Cookie认证中间件的注册顺序在OpenID Connect中间件之前，示例正确顺序如下：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = CookieAuthenticationDefaults.AuthenticationType
});
app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
{
    ClientId = "你的Azure AD应用客户端ID",
    Authority = "https://login.microsoftonline.com/你的Azure AD租户ID",
    RedirectUri = "你的应用首页地址",
    ResponseType = OpenIdConnectResponseType.CodeIdToken,
    Scope = OpenIdConnectScope.OpenIdProfile + " email",
    UseTokenLifetime = false
});

• 检查租户与权限配置：如果你的应用是单租户应用，不要将Authority配置为common、organizations这类通用租户地址，必须填写对应租户的ID或域名；如果应用注册开启了「需要用户分配」开关，必须先在Azure AD企业应用页面为登录用户分配应用访问权限。
• 移除不必要的全局授权配置：不要在全局配置中添加未指定匿名访问例外的授权规则，避免未登录用户访问登录页时直接被拦截。

内容的提问来源于stack exchange，提问作者RKh