如何使用Xamarin.Forms与Graph API实现Azure AD用户注册？

首先明确：Graph API的/v1.0/users接口不适合直接在前端做新用户注册。这个接口需要管理员级别的访问令牌，未注册的新用户根本无法获取这类令牌，直接调用必然失败。

下面是两种可行的实现方案：

方案1：使用Azure AD B2C自助注册流（推荐） #

Azure AD B2C是专门面向客户身份管理的服务，自带完整的注册/登录托管流程，完全适配移动端场景：

• 在Azure门户配置AD B2C租户，创建注册/登录用户流，可以自定义需要收集的用户信息（比如邮箱、用户名、电话号码）、密码策略、甚至多因素认证规则。
• 在Xamarin.Forms项目中安装Microsoft.Identity.Client NuGet包，初始化MSAL的PublicClientApplication，调用AcquireTokenInteractive方法并指定AD B2C的用户流ID。应用会自动跳转到Azure托管的注册页面，用户完成注册后，MSAL会直接返回可用于后续API调用的身份令牌。
• 这种方式无需自己处理密码加密、令牌生成等安全逻辑，所有流程由Azure托管，合规性和安全性都有保障。

方案2：通过自定义后端中转Graph API调用 #

如果必须使用Graph API创建用户，只能通过后端服务中转：

• 在Azure AD中注册一个后端应用，授予User.ReadWrite.All的应用权限（不是委托权限），并完成管理员同意。后端使用客户端凭据流获取Graph API的管理员令牌。
• Xamarin.Forms前端收集用户注册信息，发送到你的后端服务。后端先验证信息的合法性（比如邮箱格式、密码强度），再调用Graph API的/v1.0/users接口创建用户。
• 注册完成后，后端可以帮用户发起登录流程，将令牌返回给前端，或者直接通知前端注册成功，引导用户手动登录。
• 注意：这种方式需要自行维护后端的安全性，避免管理员凭据泄露，同时要处理用户信息的验证逻辑。

关键配置要点 #

• AD B2C用户流：在Azure门户的AD B2C租户中，进入「用户流」菜单，选择「新建用户流」，类型选「注册和登录」，然后根据需求配置用户属性、验证方法。
• MSAL集成：初始化PublicClientApplication时，需要指定AD B2C的租户ID、客户端ID、用户流的回调URL，调用AcquireTokenInteractive时传入用户流的权限字符串（格式为https://<租户域名>/<用户流ID>/user.read）。
• Graph API后端调用：使用Microsoft.Graph NuGet包，通过ClientCredentialProvider创建GraphServiceClient，调用Users.Request().AddAsync(new User { ... })创建用户，其中用户的PasswordProfile属性需要设置初始密码和强制修改密码的规则。

内容的提问来源于stack exchange，提问作者Phuluso Ramulifho