ASP.NET Core员工网站通过Microsoft Azure Entra ID访问公司日历的最佳方案

你需要的最佳方案是使用客户端凭据流（Client Credentials Flow），这是微软推荐的服务到服务后台访问Microsoft Graph的标准方式，完全满足你无需用户交互、自动连接特定账户日历的需求，且安全性远高于ROPC流程。

核心配置步骤 #

1. Azure Entra ID应用注册配置 #

• 在Azure门户注册新应用程序，记录租户ID、客户端ID。
• 创建客户端凭据：优先用证书（更安全），也可使用客户端密码。
• 授予应用权限：在应用的「API权限」中添加Microsoft Graph的应用权限（注意不是委派权限）：
  • Calendars.Read：用于读取日历事件
  • Calendars.ReadWrite：用于添加/删除事件
• 点击「授予管理员同意」，确保权限生效。

2. ASP.NET Core项目配置 #

• 安装最新版NuGet包：Microsoft.Graph、Microsoft.Identity.Web、Azure.Identity
• 在appsettings.json中添加配置：

"AzureAd": {
  "TenantId": "你的租户ID",
  "ClientId": "你的应用客户端ID",
  "ClientSecret": "你的客户端密码（用证书则无需此项）",
  "CertificatePath": "证书路径（用证书时配置）"
},
"GraphSettings": {
  "CalendarOwnerId": "日历所有者的用户ID或邮箱地址"
}

3. 注册Graph服务并实例化GraphServiceClient #

在Program.cs中注册服务，提供两种配置方式：

方式一：用Microsoft.Identity.Web简化配置

using Microsoft.Identity.Web;
using Microsoft.Graph;

var builder = WebApplication.CreateBuilder(args);

// 添加Microsoft Graph服务，使用客户端凭据流
builder.Services.AddMicrosoftGraph(options =>
{
    options.BaseUrl = "https://graph.microsoft.com/v1.0";
})
.AddClientCredentials(options =>
{
    options.TenantId = builder.Configuration["AzureAd:TenantId"];
    options.ClientId = builder.Configuration["AzureAd:ClientId"];
    // 用客户端密码时启用
    options.ClientSecret = builder.Configuration["AzureAd:ClientSecret"];
    // 用证书时替换为以下代码
    // options.ClientCertificate = new X509Certificate2(builder.Configuration["AzureAd:CertificatePath"]);
});

// 注册Razor Pages等其他服务
builder.Services.AddRazorPages();

var app = builder.Build();

// 中间件配置
app.UseAuthentication();
app.UseAuthorization();
app.MapRazorPages();

app.Run();

方式二：手动配置TokenCredential（灵活度更高）

using Azure.Identity;
using Microsoft.Graph;

builder.Services.AddSingleton<GraphServiceClient>(sp =>
{
    var tenantId = builder.Configuration["AzureAd:TenantId"];
    var clientId = builder.Configuration["AzureAd:ClientId"];
    var clientSecret = builder.Configuration["AzureAd:ClientSecret"];

    // 客户端密码凭据
    var credential = new ClientSecretCredential(tenantId, clientId, clientSecret);
    // 证书凭据替换为：
    // var credential = new ClientCertificateCredential(tenantId, clientId, new X509Certificate2("证书路径"));

    return new GraphServiceClient(credential);
});

在Razor Pages中使用GraphServiceClient #

以首页展示日历、有权限用户编辑为例：

using Microsoft.Graph;
using Microsoft.AspNetCore.Mvc.RazorPages;

public class IndexModel : PageModel
{
    private readonly GraphServiceClient _graphServiceClient;
    private readonly IConfiguration _config;

    public List<Event> CalendarEvents { get; set; } = new();

    public IndexModel(GraphServiceClient graphServiceClient, IConfiguration config)
    {
        _graphServiceClient = graphServiceClient;
        _config = config;
    }

    public async Task OnGetAsync()
    {
        var ownerId = _config["GraphSettings:CalendarOwnerId"];
        // 获取未来30天的日历事件
        var events = await _graphServiceClient.Users[ownerId].Calendar.Events
            .Request()
            .Select(e => new { e.Subject, e.Start, e.End, e.Id })
            .Filter($"start/dateTime ge '{DateTime.UtcNow.ToString("yyyy-MM-ddTHH:mm:ssZ")}'")
            .OrderBy("start/dateTime")
            .GetAsync();

        CalendarEvents = events.CurrentPage.ToList();
    }

    // 有权限用户添加事件
    public async Task<IActionResult> OnPostAddEventAsync(string subject, DateTime start, DateTime end)
    {
        // 调用你的LDAP权限判断逻辑
        if (!HasEditPermission())
        {
            return Forbid();
        }

        var ownerId = _config["GraphSettings:CalendarOwnerId"];
        var newEvent = new Event
        {
            Subject = subject,
            Start = new DateTimeTimeZone
            {
                DateTime = start.ToUniversalTime().ToString("yyyy-MM-ddTHH:mm:ss"),
                TimeZone = "UTC"
            },
            End = new DateTimeTimeZone
            {
                DateTime = end.ToUniversalTime().ToString("yyyy-MM-ddTHH:mm:ss"),
                TimeZone = "UTC"
            }
        };

        await _graphServiceClient.Users[ownerId].Calendar.Events
            .Request()
            .AddAsync(newEvent);

        return RedirectToPage();
    }

    // 现有LDAP权限判断逻辑
    private bool HasEditPermission()
    {
        // 替换为你的实际判断，比如检查用户所属AD组
        return User.IsInRole("CalendarEditorGroup");
    }
}

关键注意事项 #

• 必须使用应用权限：客户端凭据流是服务身份，而非用户身份，只能使用应用权限，委派权限无法生效。
• 管理员同意：应用权限必须经过租户管理员同意，否则调用Graph API会返回权限不足的错误。
• 证书优于密码：客户端密码存在明文存储风险，推荐使用证书凭据提升安全性。
• 无需共享日历：应用权限下，只要授予Calendars.Read/ReadWrite，就能直接访问租户内任何用户的日历，无需额外共享操作。

为什么不推荐ROPC #

ROPC流程需要存储特定账户的密码，存在密码泄露、过期失效等安全风险，微软已明确不推荐这种方式，且未来可能逐步限制支持。客户端凭据流是服务到服务场景的标准最佳实践，完全满足你的后台自动访问需求，安全性和可靠性更高。

内容的提问来源于stack exchange，提问作者ZPalmer14