设置BlockAzureADGraphAccess=true后Azure AD Graph API仍可用的原因咨询

以下是几种可能导致该现象的原因：

• ADAL库不支持AuthenticationBehaviors设置
  你当前使用的是ADAL（Active Directory Authentication Library）来获取令牌，而AuthenticationBehaviors是针对MSAL（Microsoft Authentication Library）或应用身份验证配置的控制项。ADAL无法识别这个设置，所以即使开启BlockAzureADGraphAccess=true，依然能正常获取Azure AD Graph的访问令牌，进而完成用户创建操作。

• 租户级延期权限覆盖应用设置
  若你的租户已申请Azure AD Graph访问延期至2025年6月30日，租户级别的豁免规则会优先于应用层面的BlockAzureADGraphAccess设置。这种情况下，即使应用开启了阻止访问，租户的豁免依然允许API调用正常执行。

• 拦截机制的逐步生效缓冲
  微软对Azure AD Graph的停用拦截可能是分阶段推进的。对于已申请延期的租户，即使过了2025年2月1日，拦截逻辑可能尚未完全在你的租户环境中生效，导致API调用暂时仍能正常工作。

• 应用配置未同步到Azure AD
  AuthenticationBehaviors的设置需要通过Microsoft Graph API或Azure门户正确更新应用的身份验证配置。如果仅在本地代码中设置而未同步到Azure AD的应用对象上，该控制项实际上并未生效，自然不会阻止API调用。

内容的提问来源于stack exchange，提问作者Jihad Haddad