将 Microsoft（个人和工作 Azure AD）OIDC 集成到 AWS Cognito

Question

我试图将 MSF OIDC 集成到 AWS 认知用户池。在 Azure AD 中创建了新的应用注册，"signInAudience": "AzureADandPersonalMicrosoftAccount"并"issuer": "https://login.microsoftonline.com/common/v2.0"在 Cognito 联合和其他设置中进行了设置。当我尝试使用工作或个人 MSF 帐户登录时，它会抛出"invalid_request" error with description "Bad id_token issuer". 如果我"common"用特定的tenant_id替换了issuer中的tenant_id，(9188040d-6c67-4c5b-b112-36a304b66dad for example-personal MSF)那么流程会通过发回授权代码按预期工作。任何帮助，将不胜感激！

Answer 1

通常，在公共端点的情况下，发行者验证被禁用或以不同方式实现。如果您看到元数据文档 ( https://login.microsoftonline.com/common/v2.0/.well-known/openid-configuration )，则颁发者被指定为"https://login.microsoftonline.com/{tenantid}/v2.0"，这对任何租户都无效。

如果您想允许任何租户，则应禁用颁发者验证（不知道这在 Cognito 中是否可行）。如果您只想允许特定租户，则应检查特定颁发者 URI（同样不知道这在 Cognito 中是否可行）。