迁移Blazor WASM到Entra External ID时遇AADSTS500208域名无效错误

问题描述 #

我们正将Blazor WebAssembly应用从Azure AD B2C迁移到Entra External ID，遇到认证问题：用户无法登录或注册，收到错误：

ServerError: invalid_request: AADSTS500208: The domain is not a valid login domain for the account type.

当前环境配置 #

• 框架：使用Microsoft.Authentication.WebAssembly.Msal包的Blazor WebAssembly
• 此前环境：Azure AD B2C（运行正常）
• 目标环境：Entra External ID

已完成的配置变更 #

1. 创建Entra External ID租户和应用注册
2. 配置带自定义属性的“注册并登录”用户流
3. 更新Blazor WASM配置：

{"Authority": "https://login.microsoftonline.com/new-tenant-id", "ClientId": "new-client-id"}

4. 将应用注册配置为多租户并设置正确的重定向URI

当前表现 #

• ✅ 正常：手动添加到租户的账户（含ExternalAzureAD身份）
• ❌ 异常：外部个人账户（如@outlook.com、@gmail.com等）
• ❌ 异常：外部组织的工作/学校账户
• ✅ 已验证：用户流可执行（注册时会请求自定义属性）

我们的目标是允许任意企业用户通过工作邮箱注册，并按组织/域分组以实现数据过滤。

解决方案 #

1. 修正Authority配置 #

Entra External ID的用户流需使用用户流专属的Authority地址，而非通用租户端点。正确格式为：

{"Authority": "https://<你的租户名称>.ciamlogin.com/<你的租户ID>/<用户流名称>", "ClientId": "new-client-id"}

示例：

{"Authority": "https://contoso.ciamlogin.com/contoso.onmicrosoft.com/B2C_1_signupsignin", "ClientId": "xxxx-xxxx-xxxx-xxxx"}

2. 确认应用注册的账户类型 #

在Entra External ID应用注册的「管理」>「概述」中，确保账户类型设置符合需求：

• 若需支持企业+个人账户：选择「任何组织目录中的账户(任何Azure AD目录 - 多租户)和个人Microsoft账户(如Skype、Xbox)」
• 若仅需企业用户：选择「任何组织目录中的账户(任何Azure AD目录 - 多租户)」

3. 检查用户流的身份提供者配置 #

进入用户流的「身份提供者」设置，启用对应的外部身份源：

• 企业用户：启用「Azure Active Directory」
• 个人账户：按需启用「Microsoft Accounts」「Google」等

4. 验证重定向URI类型 #

在应用注册的「身份验证」>「平台配置」中，确保Blazor WASM的重定向URI设置为**单页应用(SPA)**类型，而非Web类型。

5. 确认租户外部协作设置 #

在Entra ID租户的「外部标识」>「外部协作设置」中，确保：

• 允许外部用户访问资源
• 若需限制企业用户域，可在「受限域」中配置允许的域列表；若允许所有企业用户，设置为「允许所有外部用户」

内容的提问来源于stack exchange，提问作者pingu2k4