如何无需手动发邀请，实现Azure AD认证自动添加外部用户？

问题根源 #

报错AADSTS50020的核心原因是你的Azure AD租户默认禁止外部用户自动加入，必须手动邀请后才能访问应用。通过调整租户的外部协作配置，即可实现自动添加用户，无需手动发送邀请链接。

一、无需手动邀请链接，自动添加外部用户 #

你可以通过配置Azure AD租户的外部协作规则，让符合条件的新用户首次登录时自动成为租户来宾用户：

1. 登录Azure门户，进入你的Azure Active Directory实例
2. 导航至外部标识 > 外部协作设置
3. 在来宾邀请设置区域：
   • 将「谁可以邀请来宾用户？」设置为「所有人」（或根据权限需求选择特定角色）
   • 开启「允许外部用户通过自助注册访问应用」（若需支持个人Microsoft账户，需额外确认「允许个人Microsoft账户用户访问」已启用）
4. 保存设置后，符合条件的外部用户首次登录你的ASP.NET应用时，会自动被添加为租户来宾用户，无需手动操作。

二、基于域名自动添加用户 #

如果只想允许特定域名的用户自动加入，可通过域限制实现精准管控：

1. 在Azure AD的外部标识 > 外部协作设置页面，找到域限制区域
2. 选择「允许特定域」，点击「添加域」输入你授权的域名（例如yourcompany.com），可批量添加多个域名
3. 保存设置后，来自指定域名的用户首次登录应用时会自动成为租户外部用户；非指定域名的用户则无法自动加入，仍需手动邀请。

额外注意事项 #

• 确认你的应用注册中「支持的账户类型」设置匹配需求：若要覆盖企业账户+个人Microsoft账户，选「任何组织目录中的账户和个人Microsoft账户」；仅面向企业账户则选「任何组织目录中的账户」
• 若应用仅服务内部员工，建议将账户类型改为「此组织目录中的账户」，彻底避免外部用户登录问题

内容的提问来源于stack exchange，提问作者Bluemarble