(DESELEGANTE?) SOLUÇÃO:
Assisti a este excelente vídeo https://www.youtube.com/watch?v=elfqejow5hM por Alexander Schmidt e às 33:00 o autor revela que a string de conexão não deve ser uma string de conexão EF (usando o provedor EF), mas deve ser uma string de conexão vanilla MYSQL/SQLServer especificamente configurada para segurança, ou seja:
<add name="IMSSecurityEntities" connectionString="data source=localhost;database=mydb;Uid=id;Pwd=password;" providerName="mysql.data.mysqlclient"/>
e da mesma forma o modelo de identidade deve ser ajustado para:
Public Class ApplicationDbContext
Inherits IdentityDbContext(Of ApplicationUser)
Public Sub New()
MyBase.New("IMSSecurityEntities")
End Sub
Isso me deixa nervoso em acessar as entidades de segurança através do ORM - mas acho que pode ser por design, então talvez não haja perda.