如何将Azure AD用户导入ASP.NET Identity以预分配角色？

当然可以实现无需用户登录就预先将Azure AD用户导入Identity系统并分配角色，以下是具体方案：

1. 通过Microsoft Graph API获取Azure AD用户列表 #

你可以借助Microsoft Graph API批量拉取Azure AD中的用户数据，核心要获取用户的UserPrincipalName、DisplayName以及Object ID（该ID会作为Identity中外部登录的ProviderKey）。

示例代码（使用GraphServiceClient）：

// 初始化GraphServiceClient（需配置Azure AD应用权限，比如User.Read.All）
var graphClient = new GraphServiceClient(authProvider);

// 获取Azure AD用户列表
var users = await graphClient.Users
    .Request()
    .Select(u => new { u.Id, u.UserPrincipalName, u.DisplayName, u.Mail })
    .GetAsync();

2. 将用户导入ASP.NET Identity并关联外部登录 #

遍历获取到的Azure AD用户，在Identity数据库中创建用户记录，并关联Azure AD作为外部身份提供商：

foreach (var aadUser in users)
{
    // 检查Identity中是否已存在该用户（通过外部登录的ProviderKey）
    var existingUser = await _userManager.FindByLoginAsync("AzureAD", aadUser.Id);
    if (existingUser == null)
    {
        // 创建Identity用户
        var identityUser = new ApplicationUser
        {
            UserName = aadUser.UserPrincipalName,
            Email = aadUser.Mail ?? aadUser.UserPrincipalName,
            EmailConfirmed = true // Azure AD用户默认邮箱已验证
        };

        var createResult = await _userManager.CreateAsync(identityUser);
        if (createResult.Succeeded)
        {
            // 关联Azure AD外部登录
            await _userManager.AddLoginAsync(identityUser, new UserLoginInfo("AzureAD", aadUser.Id, "Azure Active Directory"));
            
            // 预先分配角色
            await _userManager.AddToRoleAsync(identityUser, "Admin"); // 替换为你的目标角色名
        }
    }
}

3. 理解原外部登录流程的用户创建逻辑 #

你之前找不到数据库创建用户的部分，是因为默认的外部登录流程中，用户创建逻辑仅在首次登录回调（ExternalLoginCallback）中触发：当用户通过Azure AD登录后，系统会先检查Identity中是否存在关联的外部登录记录，只有不存在时才会创建用户。这个逻辑封装在SignInManager.GetExternalLoginInfoAsync和后续的用户创建代码里。

注意事项 #

• 确保你的Azure AD应用拥有足够的Graph API权限（比如User.Read.All用于读取用户，需在Azure门户中配置并授予管理员同意）。
• 可以将导入逻辑做成后台定时任务（比如用Hangfire），定期同步Azure AD用户，避免手动操作。
• 导入时要处理重复用户的情况，避免重复创建或关联记录。

内容的提问来源于stack exchange，提问作者M_B