azure - 将 Microsoft（个人和工作 Azure AD）OIDC 集成到 AWS Cognito

Question

我试图将 MSF OIDC 集成到 AWS cognito 用户池。在 Azure AD 中创建了新的应用注册，"signInAudience": "AzureADandPersonalMicrosoftAccount"并"issuer": "https://login.microsoftonline.com/common/v2.0"在 cognito federation 和其他设置中进行了设置。当我尝试使用工作或个人 MSF 帐户登录时，它正在抛出"invalid_request" error with description "Bad id_token issuer". 如果，我"common"用特定的tenant_id 替换 issuer 中的tenant_id，(9188040d-6c67-4c5b-b112-36a304b66dad for example-personal MSF)则通过发回授权代码，流程按预期工作。任何帮助，将不胜感激！

标签： azureazure-active-directorysingle-sign-onamazon-cognitoopenid-connect

Answer 1

通常，在公共端点的情况下，颁发者验证被禁用或以不同方式实现。如果您看到元数据文档 ( https://login.microsoftonline.com/common/v2.0/.well-known/openid-configuration )，则颁发者指定为"https://login.microsoftonline.com/{tenantid}/v2.0"，这对任何租户均无效。

如果您想允许任何租户，则应禁用颁发者验证（不知道这在 Cognito 中是否可行）。如果您只想允许特定的租户，您应该检查特定的颁发者 URI（同样不知道这在 Cognito 中是否可行）。