无需Azure门户，在ASP.NET Core MVC应用内为新用户分配Microsoft Entra应用角色权限的可行性咨询

当然可以实现！完全不需要依赖Azure门户，就能在你的ASP.NET Core MVC应用内完成新用户的角色权限分配，完美契合你“不让用户自行注册、仅允许现有授权用户添加新用户”的需求。下面是具体的实现思路和步骤：

核心前提：配置应用权限与Microsoft Graph集成 #

首先你需要让你的应用具备操作Microsoft Entra ID（原Azure AD）用户和应用角色的权限，这一步仅需在Microsoft Entra管理中心做一次配置：

• 找到你的应用注册，添加应用程序权限：User.ReadWrite.All（用于查找Azure AD中的用户）和AppRoleAssignment.ReadWrite.All（用于分配应用角色）
• 务必点击“授予管理员同意”，因为这些是租户级的应用权限，需要管理员批准才能生效

在你的ASP.NET Core MVC项目中，通过NuGet安装以下包来简化Graph API调用：

Install-Package Microsoft.Graph
Install-Package Microsoft.Identity.Web

应用内实现用户角色分配的具体逻辑 #

在你的“用户管理”页面背后的控制器中，添加以下核心逻辑：

1. 权限校验：确保只有你的应用中具备管理员权限的用户才能访问这个管理功能，比如用ASP.NET Core的授权特性：

   [Authorize(Roles = "AppAdmin")]
   public IActionResult ManageUsers()
   {
       return View();
   }
   

2. 查找目标用户：当管理员输入新用户的邮箱后，调用Microsoft Graph API的users端点，通过邮箱获取该用户在Microsoft Entra中的唯一ID：

   var targetUser = await _graphServiceClient.Users
       .Request()
       .Filter($"mail eq '{userEmail}'")
       .Select(u => new { u.Id })
       .FirstOrDefaultAsync();
   

3. 分配应用角色：调用Graph API的应用角色分配端点，将目标用户与你的应用中的指定角色关联起来。这里需要提前知道你的应用服务主体ID（可在Microsoft Entra管理中心的应用注册详情中找到）以及目标角色的ID（定义在应用注册的“应用角色”列表中）：

   var appRoleAssignment = new AppRoleAssignment
   {
       PrincipalId = Guid.Parse(targetUser.Id),
       ResourceId = Guid.Parse(yourAppServicePrincipalId),
       AppRoleId = Guid.Parse(targetRoleId)
   };
   
   await _graphServiceClient.ServicePrincipals[yourAppServicePrincipalId]
       .AppRoleAssignments
       .Request()
       .AddAsync(appRoleAssignment);
   

关键注意事项 #

• 因为你的新用户已经存在于Microsoft Entra ID中，所以不需要创建用户，仅需完成应用角色分配即可。用户下次访问应用时，Microsoft Entra会将角色信息传递给你的应用，你可以通过User.Claims获取角色并控制访问权限。
• 要做好异常处理：比如目标用户不存在、当前用户没有足够权限调用Graph API等情况，给管理员清晰的错误提示。
• 严格控制管理页面的访问权限，避免非授权用户修改权限配置。

这样一来，你的现有授权用户就能在应用内直接完成新用户的角色分配，完全无需跳转至Azure门户，同时也能确保新用户无法自行注册访问应用。

备注：内容来源于stack exchange，提问作者IamP