多租户Entra External ID下ASP.NET Core Web API令牌验证问题求解

核心操作错误分析 #

1. 自定义Scope误用：多租户EEID不支持自定义API Scope，外部租户用户无法识别这类Scope，这是你遇到AADSTS500207错误的直接原因。
2. 验证配置未适配：EEID多租户的令牌签发机构是AAD的STS服务（https://sts.windows.net/<租户ID>/），而非B2C的专属域名，沿用原B2C的验证逻辑必然导致签名无效。

具体修复步骤 #

一、SPA端（MSAL React）配置调整 #

1. 替换Scope为API客户端ID格式
   多租户EEID场景下，请求Web API的令牌必须使用api://<WebAPI客户端ID>/.default作为Scope，这是官方规定的多租户API权限请求格式。
   示例配置代码：

   const msalConfig = {
     auth: {
       clientId: "<你的SPA客户端ID>",
       authority: "https://login.microsoftonline.com/common", // 多租户模式固定用common
       redirectUri: "/",
       postLogoutRedirectUri: "/"
     }
   };
   
   // 登录和令牌请求时指定正确的Scope
   const tokenRequest = {
     scopes: ["api://<WebAPI客户端ID>/.default", "openid", "profile", "offline_access"]
   };
   

   调用acquireTokenSilent或acquireTokenPopup时传入这个tokenRequest，就能获取到受众为Web API客户端ID的有效令牌。

2. 避免默认Graph Scope干扰
   必须显式指定Scope，不要依赖MSAL的默认值，确保请求的Scope完全针对你的Web API，这样返回的令牌不会指向MS Graph。

二、Web API端（ASP.NET Core）配置调整 #

1. 更新身份验证服务配置
   修改Program.cs中的AddMicrosoftIdentityWebApi配置，适配EEID多租户的令牌签发规则：

   builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
       .AddMicrosoftIdentityWebApi(options =>
       {
           builder.Configuration.Bind("AzureAd", options);
           // 指定令牌受众为Web API的客户端ID
           options.TokenValidationParameters.ValidAudience = "api://<WebAPI客户端ID>";
           // 启用多租户签发者验证
           options.TokenValidationParameters.IssuerValidator = AadIssuerValidator
               .GetIssuerValidator(options.TokenValidationParameters.ValidAudience)
               .Validate;
       }, options =>
       {
           builder.Configuration.Bind("AzureAd", options);
           options.Instance = "https://login.microsoftonline.com/";
           options.TenantId = "common"; // 多租户模式
           options.ClientId = builder.Configuration["AzureAd:ClientId"];
       });
   

   对应appsettings.json配置：

   {
     "AzureAd": {
       "Instance": "https://login.microsoftonline.com/",
       "TenantId": "common",
       "ClientId": "<WebAPI客户端ID>",
       "ClientSecret": "<WebAPI客户端密钥>" // 仅当下游调用API时需要，否则可省略
     }
   }
   

   关键要点：

   • 用AadIssuerValidator自动处理多租户环境下的签发者验证，无需手动枚举所有可能的租户ID
   • 确保ValidAudience与SPA请求的Scope中的客户端ID完全一致

2. 移除B2C相关配置残留
   彻底删除原B2C的配置项（如Instance为b2clogin.com的设置），避免与EEID的配置冲突。

场景最佳实践 #

1. 多租户EEID权限规范
   多租户模式下，所有API权限请求必须使用api://<客户端ID>/.default格式，自定义Scope仅适用于单租户EEID（仅限自身租户内用户访问），外部租户用户无法识别自定义Scope。

2. 应用权限配置

   • 在Entra ID中，将Web API设置为“接受任何组织目录中的用户”（多租户模式）
   • 为SPA应用添加Web API的委派权限，并确保权限已被授予

3. 安全性保障
   始终依赖Microsoft.Identity.Web的内置令牌验证逻辑，不要手动验证签名、签发者等字段，避免引入安全漏洞。

4. 多租户测试
   使用外部租户的用户账号（如其他AAD租户的用户）测试登录和API调用，验证令牌的iss（签发者）和aud（受众）是否符合预期，确保跨租户访问正常。

内容的提问来源于stack exchange，提问作者Svetlana