C# ClientWebSocket无法连接Azure安全Service Fabric集群排查

你碰到的核心问题是没搞清楚Azure AD认证的Service Fabric集群对WebSocket客户端的认证要求——它用的是OAuth 2.0 Bearer令牌认证，不是你当前用的NetworkCredentials或直接附加证书（除非你的集群同时开启了客户端证书认证，但你明确说的是Azure AD认证）。下面一步步给你梳理客户端需要补充的配置：

1. 先获取Azure AD访问令牌 #

客户端需要先向Azure AD请求针对你的Service Fabric集群的访问令牌。你需要提前准备这些信息：

• Azure AD租户ID（格式类似xxxx-xxxx-xxxx-xxxx）
• 已注册的客户端应用ID（需在Azure AD中注册一个客户端应用，并授予它访问Service Fabric集群的权限）
• Service Fabric集群的资源ID（即集群在Azure AD中的应用ID URI，一般为https://<cluster-name>.azure.com或你自定义的地址）

可以用Microsoft.Identity.Client（MSAL库）来获取令牌，示例代码：

using Microsoft.Identity.Client;

private async Task<string> GetAadAccessTokenAsync()
{
    string tenantId = "你的租户ID";
    string clientId = "你的客户端应用ID";
    string clusterResourceId = "你的Service Fabric集群资源ID";
    string authority = $"https://login.microsoftonline.com/{tenantId}";

    var app = PublicClientApplicationBuilder.Create(clientId)
        .WithAuthority(authority)
        .Build();

    // 请求user_impersonation权限，这是Service Fabric默认的用户访问权限
    var result = await app.AcquireTokenInteractive(new[] { $"{clusterResourceId}/user_impersonation" })
        .ExecuteAsync();

    return result.AccessToken;
}

2. 给WebSocket握手请求添加Bearer令牌头 #

ClientWebSocket在握手时允许自定义请求头，你需要把获取到的令牌添加到Authorization头里，这是Azure AD认证的核心要求：

public async Task<bool> ConnectAsync(Uri serviceAddress)
{
    this._clientWebSocket = new ClientWebSocket();
    
    // 1. 获取Azure AD令牌
    string accessToken = await GetAadAccessTokenAsync();
    // 2. 添加Authorization头，格式为Bearer + 令牌
    _clientWebSocket.Options.SetRequestHeader("Authorization", $"Bearer {accessToken}");

    // 3. 处理SSL证书信任（如果集群用Azure默认证书，需确保客户端信任；生产环境不要随便跳过验证）
    _clientWebSocket.Options.RemoteCertificateValidationCallback = (sender, cert, chain, sslPolicyErrors) =>
    {
        // 生产环境请替换为真实的证书验证逻辑，比如检查证书主题、颁发者等
        return sslPolicyErrors == System.Net.Security.SslPolicyErrors.None;
    };

    using (CancellationTokenSource tcs = new CancellationTokenSource(TimeSpan.FromSeconds(5)))
    {
        try
        {
            await this._clientWebSocket.ConnectAsync(serviceAddress, tcs.Token);
        }
        catch (Exception e)
        {
            Console.WriteLine($"连接失败：{e.Message}\n内部异常：{e.InnerException?.Message}");
            throw;
        }
    }
    return true;
}

3. 关键注意事项 #

• 为什么之前的方式无效？
  • NetworkCredentials是用于NTLM/Kerberos这类Windows身份验证的，和Azure AD的OAuth2认证体系完全不兼容。
  • 你附加的本地SSL证书是集群节点间通信的凭证，不是Azure AD认证要求的客户端身份凭证（除非集群同时开启了客户端证书认证，但你的场景是Azure AD认证）。
• 证书验证：生产环境一定要正确验证集群的SSL证书，不要直接返回true跳过验证。如果是Azure生成的集群证书，需要把证书导入客户端的受信任根证书存储。
• 权限配置：确保Azure AD中注册的客户端应用已被授予访问Service Fabric集群的权限（比如user_impersonation），同时登录用户在Service Fabric集群中拥有对应的访问角色。

内容的提问来源于stack exchange，提问作者that_guy