解析 OAuth2 回调时出现 Azure AD 错误：invalid_client

Question

我使用 https://docs.microsoft.com/en-us/azure/active-directory/develop/quickstart-register-app 在 Azure AD 中注册了一个应用程序 尝试登录我的应用程序以连接到 Microsoft 登录时。我收到无效的客户端错误。在日志中我看到以下错误。

error=invalid_client&error_description="AADSTS650052 The app needs access to a service (https://aks-aad-server.azure.com) that your organization xxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxx has not subscribed to or enabled. Contact your IT Admin to review the configuration of your service subscriptions"

注意：我有 Microsoft Office 365 标准订阅计划，

Answer 1

AADSTS650052 The app needs access to a service (https://aks-aad-server.azure.com) that your organization xxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxx has not subscribed to or enabled. Contact your IT Admin to review the configuration of your service subscriptions

要解决上述错误，请检查以下解决方法

• 在 Azure AD 中注册应用程序时，检查支持的 您选择的账户类型

• 如果您选择“单租户”您将无法登录您的应用程序
  来自不同租户

• 从支持的不同租户更新访问您的应用程序
  帐户类型为“multi-tenant”

要详细了解如何做到这一点 参考 这个 link:

https://docs.microsoft.com/en-us/azure/active-directory/develop/howto-convert-app-to-be-multi-tenant#update-registration-to-be-multi-tenant

• 注册应用程序后，导航到公开一个API 设置 App ID URI 并添加所需的范围，例如读取、用户 冒充等

• 将您的应用程序的客户端 ID 添加到 knownClientApplications 清单中的参数

您的管理员需要接受同意提示才能访问此应用程序使用以下 URL 通过使用您的应用程序更新 ClientID 参数 client-id

https://login.microsoftonline.com/common/oauth2/authorize?client_id=1a8e25b8-xxxx-xxxx-xxxx-xxxxxxxxxxxx&prompt=admin_consent&response_type=code 

当您的管理员授予这些权限后，您可以登录到您的 申请成功

参考：

https://docs.microsoft.com/en-us/answers/questions/28697/invalid-client-aadsts650052-the-app-needs-access-t.html

Answer 2

在 oauth2-proxy 配置中发现错误 scope，向 azure 发送了不正确的请求，在更新 scope 更正问题后，问题已解决。