Azure应用注册：自动化SSO用户关联流程的技术方案咨询

核心方案概述 #

通过Azure Functions结合Microsoft Graph API批量获取Azure AD用户主体ID，调用ERP的SSO关联API完成自动化绑定，同时加入租户校验逻辑，避免外部用户绑定错误账户，全程基于单租户Azure AD满足许可证分配需求。

具体实施步骤 #

1. 配置Azure Functions的服务主体权限 #

• 在Azure AD中创建专用服务主体，授予User.Read.All的应用权限（需管理员同意），用于批量读取Azure AD用户信息
• 在Azure Functions的应用设置中配置环境变量：CLIENT_ID（服务主体客户端ID）、CLIENT_SECRET（服务主体密钥）、TENANT_ID（指定的单租户ID）

2. 获取Azure AD用户主体ID #

通过Microsoft Graph API根据用户的UPN（高校场景通常为校园邮箱）获取对应的用户主体ID，解决无法获取该ID的问题：

// C#示例代码，需引入Microsoft.Graph NuGet包
var credential = new ClientSecretCredential(tenantId, clientId, clientSecret);
var graphClient = new GraphServiceClient(credential);

// 按UPN筛选用户，获取主体ID与租户ID
var userQuery = await graphClient.Users
    .Request()
    .Filter($"userPrincipalName eq '{targetUpn}'")
    .Select("id,tenantId")
    .GetAsync();

var targetUser = userQuery.FirstOrDefault();
if (targetUser == null) {
    // 处理用户不存在的异常
    return;
}

3. 调用ERP关联API完成绑定 #

• 整理用户映射关系：提前收集ERP内部用户标识（如工号、ERP用户ID）与对应Azure AD UPN的映射表，存储在Azure Storage或数据库中
• 在Azure Functions中按批次读取映射数据，将Azure AD用户主体ID和ERP用户标识作为参数调用ERP提供的SSO关联API
• 加入重试机制：针对API调用失败的情况，设置指数退避重试策略，确保批量操作的完整性

4. 增加租户校验逻辑，避免错误绑定 #

在调用ERP关联API前，检查用户的tenantId是否与指定的单租户ID一致：

if (targetUser.TenantId != authorizedTenantId) {
    // 记录错误日志，跳过该用户绑定
    return;
}

确保只有指定租户内的Azure AD账户能完成关联，避免外部用户绑定错误账户。

关键问题解答 #

• 能否在Azure Functions中模拟用户完成关联？
  不建议模拟用户操作（需用户密码或授权，存在安全风险且不符合自动化场景），推荐使用服务主体的应用权限模式，无需用户介入即可批量完成关联操作。
• 无法使用B2C的替代方案？
  继续使用单租户Azure AD，通过Azure AD的外部用户邀请功能（若涉及外部用户）将用户纳入指定租户，既满足许可证分配需求，又能统一管理用户身份。

内容的提问来源于stack exchange，提问作者jspawn