“具有现有 Microsoft 帐户的用户”无法使用 Azure AD SSO 访问应用

Question

昨天我学习了 Vittorio Bertocci 的教程“Microsoft OWIN 组件中的 WS-Federation – 快速入门”使用 Azure AD 身份验证设置测试应用程序。这是我第一次使用 Azure AD（我独自工作，所以不使用 AD，就这样）。我只有一个包含一个应用程序的 Azure AD 租户。

我在租户中创建了一个测试用户，[电子邮件保护]，并且可以正常登录应用程序：

然后我尝试创建一个新用户，[电子邮件保护]拥有现有 Microsoft 帐户的用户（电子邮件地址用于登录和管理 Azure 门户，以便它在其他地方使用）。选择了适当的设置来创建此帐户 ->具有现有 Microsoft 帐户的用户

但是，我无法以该用户身份登录该应用程序：

有人能解释一下这是为什么吗？

如果我从租户中删除该用户，然后使用该选项重新创建，New user in your organsation那么用户就can可以正常登录（尽管系统会提示他们更改密码）。

我不明白有什么区别，尤其是当帐户在其他地方运行良好时。

Answer 1

该帐户可能既是有效的 Microsoft 帐户（以前称为 Live ID），又是有效的组织帐户（Azure AD）。这种情况可能发生（您拥有 Live ID 多年，然后您的公司注册了 Office 365），并导致各种有趣的游戏，因为“家庭领域发现”默认为 Azure AD。

在 Azure 提供的第一个登录框中，尝试输入任何带有“@outlook.com”地址的地址 - 您将被重定向到 Outlook 登录页面（使用 Live ID）。在 Outlook 登录页面上，输入您的“[电子邮件保护]' 电子邮件和密码。我希望你能登录。

我谈论了这种情况的背景（和原因）在我的博客上。

Answer 2

实际上，在 Azure AD 中创建用户时有三个选项可供选择：

1. 组织中的新用户（此 Azure AD）
2. 拥有现有 Microsfot 帐户 (Live ID) 的用户
3. 另一个 Windows Azure AD 目录中的用户（非实时）

你确定你的[电子邮件保护]实际上是一个 MS Live ID，而不是“另一个 Windows Azure AD”中的用户？

指定“另一个 Windows Azure AD”选项时，会检查该帐户是否可以联合，并在该页面上显示通过/失败。“其他 Azure AD”中的联合设置可能不正确。

下面是我将随机信息放入“另一个 Windows Azure AD”字段并导致查找失败的情况。

我想扩展这个答案，如果其中任何一个能为您指明正确的方向，请告诉我。

附言：Serverfault 社区，如有需要，请随时纠正我的命名法，例如：“Live ID”、“Azure AD”