如何为特定域用户启用OpenID Connect SSO？修改权限后登录页无法显示

我来帮你搞定这个问题——咱们要把原来允许所有微软账号登录的配置，改成只让特定目录或域的用户访问，同时修复登录页面无法正常显示的问题。核心问题出在Authority配置不匹配和应用注册的租户设置上，一步步来：

1. 修正Authority核心配置 #

原来你用的common Authority是多租户模式，允许所有微软生态的账号（包括个人Hotmail/Outlook账号）登录。要限制特定目录/域，必须把Authority替换成单租户对应的地址：

• 如果你要限制到特定租户ID（比如公司的Azure AD目录）：

  https://login.microsoftonline.com/[你的租户ID]/v2.0
  

• 如果你要限制到已验证的域名（比如yourcompany.onmicrosoft.com或自定义域名）：

  https://login.microsoftonline.com/[你的域名].onmicrosoft.com/v2.0
  

举个ASP.NET Core项目里的配置示例（其他框架逻辑类似）：

services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(options =>
    {
        options.ClientId = "你的Client ID";
        options.ClientSecret = "你的应用密钥";
        // 替换成你的租户ID或域名
        options.Authority = "https://login.microsoftonline.com/12345678-1234-1234-1234-1234567890AB/v2.0";
        options.CallbackPath = "/signin-oidc";
    });

2. 匹配应用注册的租户类型设置 #

登录Azure门户找到你的应用注册，检查支持的账户类型：

• 选择「仅此组织目录中的账户」（对应单租户模式），这会直接拒绝外部租户或个人微软账号的登录请求
• 如果你之前设置的是「任何组织目录中的账户」（多租户），改成单租户后，必须确保代码里的Authority和这个设置匹配，否则会因为租户不兼容导致登录页无法加载

3. 检查权限与重定向URI配置 #

• 权限方面：不要随意添加不必要的权限，基础的OpenID Connect权限（openid、profile、email）就足够满足登录需求。如果之前添加了多租户相关的权限，改成单租户后可能需要重新授予管理员同意（针对需要管理员授权的权限）。
• 重定向URI：确保应用注册里配置的重定向URI和代码里的CallbackPath完全一致，包括协议（HTTP/HTTPS）、域名、端口和路径——哪怕一个字符错了，都会导致登录页跳转失败或报错。

4. 排查登录页无法显示的常见问题 #

如果改完配置还是看不到登录页，可以从这几个方向查：

• 检查Authority URL有没有拼写错误（比如租户ID输错、域名写错），可以直接在浏览器里访问Authority地址，看是否能正常返回OpenID配置（比如https://login.microsoftonline.com/[租户ID]/v2.0/.well-known/openid-configuration）
• 打开浏览器开发者工具（F12），查看控制台的错误信息——常见的错误比如invalid_tenant（租户ID无效）、redirect_uri_mismatch（重定向URI不匹配），这些错误会直接告诉你问题所在
• 清除浏览器缓存和Cookie，旧的认证会话可能会干扰新配置的生效

这样调整后，你的应用就只会允许指定目录/域的用户登录，同时登录页面也能正常显示啦。

内容的提问来源于stack exchange，提问作者subham