ASP.NET Core 3.1 + Azure AD 身份驗證 - 如何披露“隱藏的電子郵件”

Question

我有一個使用 Azure AD 作為身份驗證方法的 ASP.NET Core MVC web 應用程序。

當未分配給此應用程序的人嘗試登錄時，出現錯誤"Message contains error: 'access_denied', error_description: 'AADSTS50105: The signed in user '**{EmailHidden}**' is not assigned to a role for the application (...)"生成。

在OpenIdConnectEvents.OnRemoteFailure的上下文中，我希望能夠訪問{EmailHidden}的實際值，以改進未經授權訪問的日志記錄

我已經嘗試在應用程序ConfigureServices方法中配置IdentityModelEventSource.ShowPII = true 。 它解決了其他類似的問題，但沒有解決這個問題。

有什么想法/建議嗎？ 謝謝。

Answer 1

當注冊應用程序的企業應用程序部分（或服務主體）的設置User Assignment Required設置為Yes時，通常會發生此錯誤。

您可以按照以下步驟解決此問題：

1.將所需的User assignment required更改為No並保存更改。
2.Go 返回應用程序注冊門戶並執行Granting Admin consent to the application 。 這次應該可以了。
3. 再次User assignment required重新設置為是。