.NET Core应用能否仅用账号密码登录Azure访问Blob，无需tenantId/clientId？

结论：无法完全跳过tenantId和clientId参数，这是Azure AD身份验证流程的强制要求，并非Azure.Identity类库的额外限制。

原因说明 #

所有访问Azure资源的身份验证请求都必须携带租户标识（tenantId）和请求方应用标识（clientId），即使用户名密码验证流（ROPC流）也需要这两个参数完成身份校验，这是Azure平台的原生安全设计。

无需自行注册应用的替代实现方案 #

你不需要为每个应用单独注册应用，可以直接使用微软公开的公共客户端ID，搭配通用租户标识满足需求：

• 公共客户端ID可以直接使用Azure CLI预置的公开ID 04b07795-8ddb-461a-bbee-02f9e1bf7b46，该ID为微软官方公开可复用的客户端标识，无需额外注册或配置。
• 租户ID如果是跨租户使用的通用管理员账号，可以直接填 common，Azure会自动匹配账号所属的对应租户；如果是固定租户的账号，直接填写对应租户ID或租户域名（如xxx.onmicrosoft.com）即可。

修改后的代码示例 #

private TokenCredential GetAzureBlobTokenCredential(DataProtectionSettings options)
{
    // 复用Azure CLI公开客户端ID，无需自行注册应用
    const string publicAzureCliClientId = "04b07795-8ddb-461a-bbee-02f9e1bf7b46";
    // 未指定租户时默认用common自动适配
    var effectiveTenantId = string.IsNullOrWhiteSpace(options.AzureTenantId) ? "common" : options.AzureTenantId;
    return new UsernamePasswordCredential(options.AzureUser, options.AzurePass, effectiveTenantId, publicAzureCliClientId);
}

注意事项 #

• 用户名密码验证流仅支持未开启多因素认证（MFA）的Azure AD工作/学校账号，不支持个人微软账号，也不支持已开启MFA的账号，如果你使用的管理员账号开启了MFA，该方案无法生效。
• 若账号开启了MFA，更推荐使用AzureCliCredential方案：只需要在运行应用的环境中先通过az login登录管理员账号，代码中直接初始化AzureCliCredential即可读取已有的登录态，不需要传入任何账号密码、租户ID、客户端ID参数，安全性更高，也适配多应用共用账号的场景。
• 如果有合规要求不能使用公开客户端ID，可以注册一个多租户类型的公共客户端应用，仅需注册一次即可给所有需要使用该通用账号的应用共用。

内容的提问来源于stack exchange，提问作者xecollons