如何使用现有社交登录账号直接登录Azure SQL适配桌面应用改造需求

可以实现，核心依托Azure Active Directory（Azure AD）的联邦身份能力和Azure SQL原生的Azure AD认证功能，不需要额外搭建中间Web服务，也不需要你手动管理每个数据库账号。

具体实现步骤 #

• 配置Azure AD外部身份源：微软账号本身为Azure AD原生支持，你只需要额外将谷歌、Facebook配置为Azure AD的外部身份提供商即可，所有现有用户的社交账号都可以直接映射为Azure AD的外部用户身份，无需用户重新注册账号。
• 开启Azure SQL的Azure AD认证：为你的Azure SQL服务器绑定Azure AD管理员账号，开启Azure AD身份验证功能。权限管理可以直接依托Azure AD安全组实现：创建一个专用的数据库访问安全组，给该组分配数据库所需的读写等权限，后续只需要将用户的外部身份加入该组即可自动获得数据库访问权限，无需单独为每个用户创建数据库账号。
• 桌面应用集成登录逻辑：直接使用微软身份验证库（MSAL）集成登录能力，用户在桌面应用中选择对应社交账号完成登录后，MSAL会自动申请Azure SQL的专属访问令牌，数据库连接时直接将该令牌传入连接字符串的AccessToken参数即可，不需要在连接字符串中填写固定的用户名和密码，示例连接字符串参考：

  Server=tcp:<你的SQL服务器名称>.database.windows.net,1433;Initial Catalog=<你的数据库名称>;Encrypt=True;AccessToken=<MSAL获取到的访问令牌>
  

方案安全特性 #

• 所有访问令牌为短期生效，默认有效期仅1小时，就算出现本地令牌泄露也不会造成长期安全风险，无需你额外实现凭证加密、存储逻辑。
• 所有权限管控都在Azure侧完成，你可以随时在Azure后台撤销单个用户或整个用户组的访问权限，不需要修改桌面应用代码。
• 全程身份校验由Azure AD负责，你不需要处理任何用户凭证的存储、加密逻辑，开发量极低，符合你缩减Web相关开发工作的需求。
• 用户可以沿用之前Web应用的登录习惯，不需要额外学习新的登录流程。

内容的提问来源于stack exchange，提问作者CJ Scholten