ASP.NET非交互式对接Azure AD认证报unknown_user_type错误如何解决？

你遇到的unknown_user_type报错是使用ROPC（资源所有者密码凭据）认证流时的典型问题，结合你提供的代码和场景，问题和修复方案如下：

1. 代码参数错误 #

你调用AcquireTokenAsync时传入的第一个参数serviceUri填写错误：

该参数应为你要请求访问的目标资源的唯一标识，而非授权端点地址，你当前填写的https://login.microsoftonline.com/xxx/oauth2/authorize是OAuth2的授权端点，完全不符合参数要求。
修复示例：如果你要访问微软Graph API，改为https://graph.microsoft.com；如果是访问你自己开发的后端API，改为你API对应的应用ID URI即可。

2. ROPC流的用户限制 #

ROPC流本身不支持以下类型的用户，你使用的账号如果属于下述任意一种就会触发该报错：

• 个人微软账户（如@outlook.com、@live.com后缀的账号），只能使用你当前租户下的工作/学校账号
• 开启了多因素认证（MFA）的用户
• 从其他租户邀请到你租户的B2B来宾用户
• 本地AD同步到Azure AD、且未开启密码哈希同步的联合身份用户

3. Azure AD应用配置遗漏 #

你需要在Azure AD的应用注册页补充如下配置：

• 进入你注册的应用的【身份验证】板块，拉到最底部的高级设置区域，将允许公共客户端流选项设置为【是】，ROPC流属于公共客户端认证流，Web应用默认关闭该选项。
• 确认你传入的userName是完整的用户主体名称（UPN格式，如user@你的租户域名.onmicrosoft.com），不能只填写短用户名。
• 检查租户的条件访问策略，确认没有规则拦截ROPC流的认证请求。

额外建议 #

你当前使用的Microsoft.IdentityModel.Clients.ActiveDirectory（ADAL）库已经于2022年正式停止维护，建议更换为官方推荐的Microsoft.Identity.Client（MSAL）库，认证逻辑更简洁，兼容性问题更少。

内容的提问来源于stack exchange，提问作者Developer