在使用独立用户账户认证并集成Azure AD作为外部认证提供程序的ASP.NET Core Web应用中，能否用Azure AD认证用户初始化数据库？如何实现？

当然可以！在ASP.NET Core Web应用中结合独立用户账户（Individual User Accounts）和Azure AD外部认证时，完全可以把Azure AD认证的用户数据预初始化（Seed）到本地应用数据库里。下面是具体的实现步骤，我会尽量讲得清晰易懂：

本质上，我们要做的是在本地Identity系统中创建与Azure AD用户对应的用户记录，并关联两者的身份标识——这样当用户通过Azure AD登录时，ASP.NET Core的认证系统就能自动匹配到本地数据库里的用户，实现无缝的身份衔接。

1. 确认Azure AD配置已完成 #

首先确保你已经在Azure AD中完成了应用注册，拿到了ClientId、TenantId等关键配置，并且在ASP.NET Core项目中正确配置了Azure AD外部认证（比如通过AddMicrosoftIdentityWebApp方法）。这一步是基础，不然后续的关联逻辑无法生效。

2. 编写种子数据逻辑 #

创建一个专门的类来处理用户初始化，比如IdentityDataSeeder，我们会注入UserManager<IdentityUser>（如果用了自定义用户类，就换成你的自定义类型）来操作本地用户数据。

示例代码如下：

public static class IdentityDataSeeder
{
    public static async Task SeedAzureAdUsersAsync(UserManager<IdentityUser> userManager)
    {
        // 这里可以手动指定需要初始化的Azure AD用户，或者后续从Microsoft Graph批量获取
        var targetAzureAdUsers = new List<(string Email, string DisplayName, string AzureAdUserId)>
        {
            ("john.doe@contoso.com", "John Doe", "aad-user-guid-123"),
            ("jane.smith@contoso.com", "Jane Smith", "aad-user-guid-456")
        };

        foreach (var (email, displayName, aadUserId) in targetAzureAdUsers)
        {
            // 检查本地是否已存在该用户
            var existingUser = await userManager.FindByEmailAsync(email);
            if (existingUser == null)
            {
                // 创建本地用户记录
                var newUser = new IdentityUser
                {
                    UserName = email,
                    Email = email,
                    EmailConfirmed = true,
                    // 如果你的自定义用户类有DisplayName属性，这里可以赋值
                    // DisplayName = displayName
                };

                var createResult = await userManager.CreateAsync(newUser);
                if (createResult.Succeeded)
                {
                    // 关联Azure AD外部登录信息
                    // 注意：LoginProvider名称要和你配置Azure AD时的名称一致，默认是"Microsoft"
                    await userManager.AddLoginAsync(newUser, new UserLoginInfo(
                        loginProvider: "Microsoft",
                        providerKey: aadUserId,
                        providerDisplayName: "Azure Active Directory"
                    ));
                }
            }
            else
            {
                // 检查该用户是否已经关联了对应的Azure AD登录
                var existingLogins = await userManager.GetLoginsAsync(existingUser);
                if (!existingLogins.Any(l => l.LoginProvider == "Microsoft" && l.ProviderKey == aadUserId))
                {
                    await userManager.AddLoginAsync(existingUser, new UserLoginInfo(
                        loginProvider: "Microsoft",
                        providerKey: aadUserId,
                        providerDisplayName: "Azure Active Directory"
                    ));
                }
            }
        }
    }
}

3. 在应用启动时执行种子逻辑 #

在Program.cs中，我们需要在应用启动时获取UserManager服务，并调用上面的种子方法。建议只在开发环境执行，或者通过开关控制生产环境的执行：

var app = builder.Build();

// 其他中间件配置（比如静态文件、路由、认证授权等）...

// 执行种子数据
if (app.Environment.IsDevelopment())
{
    using var scope = app.Services.CreateScope();
    var services = scope.ServiceProvider;
    try
    {
        var userManager = services.GetRequiredService<UserManager<IdentityUser>>();
        await IdentityDataSeeder.SeedAzureAdUsersAsync(userManager);
    }
    catch (Exception ex)
    {
        var logger = services.GetRequiredService<ILogger<Program>>();
        logger.LogError(ex, "种子数据初始化失败");
    }
}

app.Run();

4. （可选）批量导入Azure AD用户 #

如果需要批量导入Azure AD中的用户，可以通过Microsoft Graph API获取用户列表，再遍历创建本地用户并关联。你需要给Azure AD应用注册添加User.Read.All权限，然后使用Graph SDK来调用API：

// 初始化Graph客户端（需要配置认证提供者，比如ClientCredentialProvider）
var graphClient = new GraphServiceClient(authProvider);
var adUsers = await graphClient.Users.Request().Select(u => new { u.Id, u.Mail, u.DisplayName }).GetAsync();

foreach (var adUser in adUsers)
{
    if (!string.IsNullOrEmpty(adUser.Mail))
    {
        // 复用上面的逻辑，创建本地用户并关联Azure AD登录
        var existingUser = await userManager.FindByEmailAsync(adUser.Mail);
        // ...后续逻辑和之前一致
    }
}

• 登录提供程序名称匹配：UserLoginInfo中的loginProvider参数必须和你配置Azure AD时的名称一致（默认是Microsoft，如果手动配置可能是AzureAD），否则用户登录时无法匹配到本地用户。
• 避免重复创建：种子逻辑一定要检查用户是否已存在，避免每次启动应用都创建重复的用户记录。
• 自定义用户类适配：如果你的项目使用了自定义的ApplicationUser类，记得把代码中的IdentityUser替换成你的自定义类型。
• 生产环境谨慎执行：生产环境建议不要每次启动都执行种子逻辑，可以通过配置开关、数据库迁移脚本或者一次性任务来执行。

内容的提问来源于stack exchange，提问作者Dan