Azure AD B2C破坏OIDC规格

Question

我已经配置了一个自定义策略，AAD B2C ief per this 链接，现在试图将其集成到API网关中，为JWT授权者per this 链接。

但是，尝试配置授权者会引发错误

错误更新API网关V2授权器
BadRequestException
连接到 for Insuer https://tenant-domain.b2clogin.com/tenant-id-here/v2.0/ 。
请稍后再试。
错误：
无效的发行人：
。
发行人必须具有有效的发现端点，以'/.well-newone/openid-configuration结尾

实际发现端点为 https://tenant-domain.b2clogin.com/tenant-domain.onmicrosoft.com/b2c_1a_1a_signup_signup_signin/.well-well-.well-.well-.well-.well-.well-.well-.well-.well-.well-well-well-.well-.well-.well-.well-.well-.well-.well-.well-.well-.well-v.0/然而，已知/openid-configuration 返回下面的文档，其发行人与发现URL不同。

{
  "issuer": "https://tenant-domain.b2clogin.com/tenant-id-here/v2.0/",
  "authorization_endpoint": "https://tenant-domain.b2clogin.com/tenant-domain.onmicrosoft.com/b2c_1a_signup_signin/oauth2/v2.0/authorize",
  "token_endpoint": "https://tenant-domain.b2clogin.com/tenant-domain.onmicrosoft.com/b2c_1a_signup_signin/oauth2/v2.0/token",
  "end_session_endpoint": "https://tenant-domain.b2clogin.com/tenant-domain.onmicrosoft.com/b2c_1a_signup_signin/oauth2/v2.0/logout",
  "jwks_uri": "https://tenant-domain.b2clogin.com/tenant-domain.onmicrosoft.com/b2c_1a_signup_signin/discovery/v2.0/keys",
  "response_modes_supported": [
    "query",
    "fragment",
    "form_post"
  ],
  "response_types_supported": [
    "code",
    "code id_token",
    "code token",
    "code id_token token",
    "id_token",
    "id_token token",
    "token",
    "token id_token"
  ],
  "scopes_supported": [
    "openid"
  ],
  "subject_types_supported": [
    "pairwise"
  ],
  "id_token_signing_alg_values_supported": [
    "RS256"
  ],
  "token_endpoint_auth_methods_supported": [
    "client_secret_post",
    "client_secret_basic"
  ],
  "claims_supported": [
    "name",
    "given_name",
    "family_name",
    "email",
    "sub",
    "tid",
    "iss",
    "iat",
    "exp",
    "aud",
    "acr",
    "nonce",
    "auth_time"
  ]
}

查看 this 问题，

有什么办法可以使它工作，还是我必须转到符合规格的OIDC提供商？

Answer 1

请尝试配置发行人URL ，包括TFP ，以兼容。

有关更多详细信息，请参见： >令牌兼容性
说：

注释：ISS索赔IE;发行人确定Azure AD B2C的租户
发行了令牌。通常价值是这样的东西
： https：//＆lt; domain＆gt;/{b2c tent guid}/v2.0/

但是我的应用程序或图书馆需要Azure ad B2C为
符合 openID connect connect discovy 1.0 spec ，使用此
https：//＆lt; domain＆gt;/tfp/{b2c tenant guid}/{policy ID}/v2.0/
包括Azure AD B2C租户和用户流的ID
用于代币请求。

例如：

“issuer” : “https://your-tenant-name.b2clogin.com/tfp/c5b2xxxxxxxxx0-8axxxxxx3d3b/B2C_1A_signin/v2.0/”

或

https://{tenantID}.b2clogin.com/tfp/{tenantID}/{policy-name}/v2.0/

参考：

1. 配置Azure Active Directory B2C提供商手动 - Power-Power
   应用| Microsoft Doc

Answer 2

除了 @kavyasaraboju-mt的答案之外，如果您使用的是自定义策略，则必须在 jwtissuer 中将 IssuanceClaimpattern 设置为 pertivere> epertionalwithtfp per 。

例如，在，添加元素＆lt; item key =“ issuanceclaimpattern”＆gt; pertiatewithtfp＆lt;/item gt; 代码>