Аутентификация Azure AD с учетными записями Institutional и Microsoft

Question

У меня есть пользовательская MVC WebApplication с WebApi-службой, для которой требуется аутентификация/авторизация. Я последовал примеру GitHub WebApp-WebAPI-OpenIDConnect-DotNet. Во время разработки я создал новую тестовую директорию в своей личной подписке Azure, и все работало отлично. Я мог бы добавить институциональные учетные записи (например, jon@mytenantname.onmicrosoft.com) и существующие учетные записи Microsoft (jon@hotmail.com) и назначить их для разных групп. Когда пользователь набрал адрес электронной почты liveID на странице входа и переместил курсор в текстовое поле пароля, он был перенаправлен на страницу входа в учетную запись Microsoft.

Теперь я опубликовал приложение на нашем производственном веб-сервере и хочу подключить приложения к синхронизированной Azure Active Directory. Он работает со всеми институциональными (рабочими) учетными записями. Но когда я добавляю учетную запись Microsoft и пытаюсь войти с этими учетными данными, перенаправление больше не работает. На Войти странице отображаются красным цветом:

Мы не признаем этот идентификатор пользователя или пароль Убедитесь, что вы ввели идентификатор пользователя, назначенный вашей организации. Обычно это выглядит как someone@example.com или someone@example.onmicrosoft.com. И проверьте, чтобы вы ввели правильный пароль.

Что мне не хватает? Можно ли использовать синхронизированные институциональные и личные учетные записи Microsoft в одном каталоге?

Answer 1

Моя команда владеет входным UX для Azure AD. Тот факт, что страница входа в систему AAD распознает домены, такие как outlook.com, и перенаправляет пользователей на страницу входа в учетную запись Microsoft (Live ID), является случайностью. Он не работает для всех потребительских доменов, и на него нельзя полагаться, чтобы включить MSA в свои приложения. Если вы хотите поддержать вход для пользователей Azure AD и MSA, вам нужно показать отдельные кнопки входа в вашем приложении. Мы смотрим, как мы можем улучшить этот опыт в долгосрочной перспективе. Надеюсь, это поможет.

Answer 2

Если вы используете openid connect, как в примере, и вы не используете/общую конечную точку, между двумя сценариями не должно быть разницы. Я предполагаю, что вы являетесь администратором в своей директории prod? Предоставляли ли вы учетные записи Microsoft в своем каталоге prod точно так же, как и в тестовом каталоге?