Azure ADB2C配置AD FS时元数据不含IDPSSODescriptor报错如何解决

该错误本质是Azure AD B2C从你配置的AD FS元数据地址拉取到的SAML元数据中，缺失SAML身份提供方必须声明的核心IDPSSODescriptor节点，常见触发原因如下：

• 元数据地址配置错误：自定义策略的ClaimsProvider模块中填写的AD FS元数据URL有误，比如误填为应用层面的SP元数据地址，或路径不匹配AD FS标准IDP元数据路径/FederationMetadata/2007-06/FederationMetadata.xml
• AD FS侧未暴露IDP元数据配置：AD FS服务端限制了元数据返回内容，或未启用SAML 2.0 IDP功能，导致返回的元数据直接剔除了IDPSSODescriptor部分
• 网络拦截导致元数据拉取不完整：Azure AD B2C无法正常拉取完整AD FS元数据，比如AD FS部署在内网未对外开放元数据端点，或WAF、防火墙拦截了Azure AD B2C的访问请求，返回的是错误页、不完整的元数据内容而非标准SAML元数据文件
• 自定义策略元数据配置错误：如果采用手动上传元数据而非URL拉取的配置方式，手动填写的元数据内容本身缺失IDPSSODescriptor节点，或配置的EntityID与AD FS元数据中的EntityID不匹配，导致B2C无法识别到对应IDP的描述节点

• 先验证元数据地址有效性：在浏览器无痕窗口直接访问你配置的AD FS元数据URL，确认可正常下载完整XML文件，打开文件搜索IDPSSODescriptor字段，确认该节点存在，且节点下包含正确的SingleSignOnService、SingleLogoutService、签名证书等配置
• 修正自定义策略的元数据配置：打开自定义策略扩展文件，找到对应AD FS的ClaimsProvider配置块，确认<Metadata>节点的Url属性值为验证通过的正确元数据地址，参考配置如下：

<Metadata Url="https://你的AD FS服务域名/FederationMetadata/2007-06/FederationMetadata.xml" />

若采用手动填写元数据的配置方式，确认粘贴的完整元数据内容包含IDPSSODescriptor节点

• 排查AD FS侧配置：登录AD FS服务器，运行PowerShell命令Get-AdfsProperties，确认EnableIdpInitiatedSignonPage和Saml2EndpointEnabled属性均为True，若为关闭状态，运行Set-AdfsProperties -EnableIdpInitiatedSignonPage $true -Saml2EndpointEnabled $true开启，之后重启AD FS服务
• 放行Azure AD B2C访问请求：确认AD FS对外的443端口无访问限制，WAF、防火墙规则允许Azure公有云IP段访问，避免B2C拉取元数据时被拦截
• 配置完成后重新上传自定义策略，在Azure AD B2C的身份体验框架中完成策略验证，确认无配置错误后再测试登录流程

内容的提问来源于stack exchange，提问作者bippan