MVC5应用整合Azure AD认证与ASP.NET Identity本地授权的实现咨询

我刚好做过类似的需求，给你梳理一下完整的实现步骤，亲测可行：

1. 先在Azure门户完成应用注册 #

• 登录Azure门户，找到Azure Active Directory -> 应用注册 -> 新注册
• 填写应用名称，根据公司需求选择账户类型（比如"组织目录中的账户"）
• 设置重定向URI：选Web类型，填入你的MVC应用登录回调地址，比如https://localhost:44300/signin-oidc（后续代码配置要和这个完全一致）
• 注册完成后，记录下应用程序(客户端)ID和目录(租户)ID，后面配置要用
• 转到证书和密码，创建一个客户端密码（客户端密钥），保存好这个值，后续配置会用到

2. 给MVC5项目添加必要的NuGet包 #

打开NuGet包管理器，安装以下包：

• Microsoft.Owin.Security.OpenIdConnect
• Microsoft.Owin.Security.Cookies
• Microsoft.Owin.Host.SystemWeb
• 确保你已经保留了原ASP.NET Identity相关包：Microsoft.AspNet.Identity.Owin和Microsoft.AspNet.Identity.EntityFramework

3. 配置Owin启动类（Startup.Auth.cs） #

修改项目中的App_Start/Startup.Auth.cs，添加Azure AD认证配置，核心是在ConfigureAuth(IAppBuilder app)方法里加入OpenID Connect中间件，并处理登录后的用户创建逻辑：

using Microsoft.Owin.Security;
using Microsoft.Owin.Security.Cookies;
using Microsoft.Owin.Security.OpenIdConnect;
using System.Security.Claims;
using System.Threading.Tasks;
using Microsoft.AspNet.Identity;
using YourAppNamespace.Models; // 替换为你的项目命名空间

public partial class Startup
{
    private static string clientId = System.Configuration.ConfigurationManager.AppSettings["AzureAd:ClientId"];
    private static string tenantId = System.Configuration.ConfigurationManager.AppSettings["AzureAd:TenantId"];
    private static string redirectUri = System.Configuration.ConfigurationManager.AppSettings["AzureAd:RedirectUri"];

    public void ConfigureAuth(IAppBuilder app)
    {
        // 保留原ASP.NET Identity的上下文与管理器配置
        app.CreatePerOwinContext(ApplicationDbContext.Create);
        app.CreatePerOwinContext<ApplicationUserManager>(ApplicationUserManager.Create);
        app.CreatePerOwinContext<ApplicationSignInManager>(ApplicationSignInManager.Create);

        // 配置Cookie认证，用于保存本地登录会话
        app.UseCookieAuthentication(new CookieAuthenticationOptions
        {
            AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
            LoginPath = new PathString("/Account/Login"),
            Provider = new CookieAuthenticationProvider
            {
                OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
                    validateInterval: TimeSpan.FromMinutes(30),
                    regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager))
            }
        });

        // 配置OpenID Connect认证，对接Azure AD
        app.UseOpenIdConnectAuthentication(
            new OpenIdConnectAuthenticationOptions
            {
                ClientId = clientId,
                Authority = $"https://login.microsoftonline.com/{tenantId}",
                RedirectUri = redirectUri,
                PostLogoutRedirectUri = redirectUri,
                Scope = OpenIdConnectScope.OpenIdProfile,
                ResponseType = OpenIdConnectResponseType.IdToken,
                // 关键逻辑：处理Azure AD登录成功后的用户同步
                Notifications = new OpenIdConnectAuthenticationNotifications
                {
                    SecurityTokenValidated = async context =>
                    {
                        // 从Azure AD的Claims中提取用户核心信息
                        var nameIdentifier = context.AuthenticationTicket.Identity.FindFirst(ClaimTypes.NameIdentifier).Value;
                        var email = context.AuthenticationTicket.Identity.FindFirst(ClaimTypes.Email)?.Value;
                        var displayName = context.AuthenticationTicket.Identity.FindFirst(ClaimTypes.Name)?.Value;

                        // 获取本地UserManager实例
                        var userManager = context.OwinContext.GetUserManager<ApplicationUserManager>();
                        ApplicationUser localUser = null;

                        // 通过Azure AD的唯一标识查找本地用户
                        localUser = await userManager.FindByNameAsync(nameIdentifier);
                        if (localUser == null)
                        {
                            // 首次登录，创建本地用户
                            localUser = new ApplicationUser
                            {
                                UserName = nameIdentifier, // 用Azure AD唯一标识做本地用户名，避免冲突
                                Email = email,
                                EmailConfirmed = true, // Azure AD登录用户默认邮箱已验证
                                DisplayName = displayName // 假设你的ApplicationUser有此属性，可根据实际调整
                            };

                            // 创建用户（无需密码，因为用Azure AD认证）
                            var createResult = await userManager.CreateAsync(localUser);
                            if (!createResult.Succeeded)
                            {
                                throw new Exception($"创建本地用户失败: {string.Join(", ", createResult.Errors)}");
                            }

                            // 可选：给新用户分配默认角色，比如普通用户
                            await userManager.AddToRoleAsync(localUser.Id, "RegularUser");
                        }

                        // 生成本地Identity，用于后续授权（包含本地角色Claims）
                        var localIdentity = await localUser.GenerateUserIdentityAsync(userManager);
                        // 可选：合并Azure AD的Claims到本地Identity
                        localIdentity.AddClaims(context.AuthenticationTicket.Identity.Claims);

                        // 替换认证票据的Identity为本地Identity，确保授权逻辑用本地角色
                        context.AuthenticationTicket = new AuthenticationTicket(
                            localIdentity,
                            context.AuthenticationTicket.Properties);
                    },
                    AuthenticationFailed = context =>
                    {
                        context.HandleResponse();
                        context.Response.Redirect("/Error?message=" + context.Exception.Message);
                        return Task.FromResult(0);
                    }
                }
            });

        // 启用外部登录会话管理
        app.UseExternalSignInCookie(DefaultAuthenticationTypes.ExternalCookie);
    }
}

4. 配置Web.config #

在Web.config的<appSettings>节点添加Azure AD配置项：

<add key="AzureAd:ClientId" value="你的客户端ID" />
<add key="AzureAd:TenantId" value="你的租户ID" />
<add key="AzureAd:RedirectUri" value="https://localhost:44300/signin-oidc" />

5. 修改登录页面（Account/Login.cshtml） #

添加"使用Azure AD登录"的按钮，指向外部登录路径：

@using Microsoft.Owin.Security

<div class="form-group">
    <a href="@Url.Action("ExternalLogin", "Account", new { provider = "OpenIdConnect", returnUrl = ViewBag.ReturnUrl })" 
       class="btn btn-primary">使用Azure AD登录</a>
</div>

6. 保留本地角色授权逻辑 #

因为我们在SecurityTokenValidated事件中替换成了包含本地角色Claims的Identity，所以原来的[Authorize(Roles = "Admin")]等授权标签完全可以正常使用，不需要修改。你可以继续通过原ASP.NET Identity管理界面给用户分配/修改角色。

注意事项 #

• 确保你的ApplicationUser模型包含所需属性（如Email、DisplayName），如果没有需要先添加并更新数据库迁移
• 生产环境中不要硬编码客户端密钥，建议用Azure Key Vault等安全方式存储
• 可根据需求调整Azure AD的Scope，比如添加email scope确保能获取到邮箱信息
• 测试时要保证Azure AD的重定向URI与项目配置完全一致，否则会出现认证错误

内容的提问来源于stack exchange，提问作者mev9669