无ClientId时，如何用C# Graph API创建Microsoft Entra应用？

核心思路 #

当目标租户还没有任何Entra应用时，可通过**设备码授权流（Device Code Flow）**完成管理员身份验证，无需依赖预先存在的ClientId。你可以直接使用Microsoft官方提供的公共客户端ID（适用于测试场景），或者在自己的租户创建一个多租户公共客户端应用（生产环境推荐），以此调用Graph API创建目标租户的Entra应用。

具体实现步骤 #

1. 选择客户端ID #

• 临时测试：使用Microsoft Graph Explorer的内置公共客户端ID：14d82eec-204b-4c2f-b7e8-296a70dab67e，无需提前创建应用
• 生产环境：在你自己的租户创建一个多租户公共客户端应用，启用设备码流，使用该应用的ClientId（可控性更强，符合安全规范）

2. 设备码流授权+创建应用代码示例 #

using Azure.Identity;
using Microsoft.Graph;
using Microsoft.Graph.Models;

public async Task CreateCalendarSyncApp(string targetTenantId)
{
    // 替换为公共客户端ID或自己创建的多租户应用ClientId
    string clientId = "14d82eec-204b-4c2f-b7e8-296a70dab67e";

    var credentialOptions = new DeviceCodeCredentialOptions
    {
        TenantId = targetTenantId,
        ClientId = clientId,
        AuthorityHost = AzureAuthorityHosts.AzurePublicCloud,
        // 引导管理员完成登录的回调提示
        DeviceCodeCallback = (codeDetails, cancellationToken) =>
        {
            Console.WriteLine($"请在浏览器打开：{codeDetails.VerificationUri}");
            Console.WriteLine($"输入验证码：{codeDetails.UserCode}");
            Console.WriteLine("完成登录后，程序将继续执行...");
            return Task.CompletedTask;
        }
    };

    // 初始化凭据和Graph客户端
    var deviceCodeCredential = new DeviceCodeCredential(credentialOptions);
    var graphClient = new GraphServiceClient(deviceCodeCredential);

    // 定义要创建的Entra应用参数
    var newApplication = new Application
    {
        DisplayName = "CalendarSync Auto-Deployed App",
        SignInAudience = "AzureADMyOrg",
        Api = new ApiApplication { RequestedAccessTokenVersion = 2 },
        // 预先配置回调URI（根据你的CalendarSync需求调整）
        Web = new WebApplication { RedirectUris = new List<string> { "http://localhost:5000/auth/callback" } }
    };

    try
    {
        var createdApp = await graphClient.Applications.PostAsync(newApplication);
        Console.WriteLine($"应用创建成功！ClientId: {createdApp.AppId}");
        
        // 可选：自动生成客户端密钥，用于后续CalendarSync的授权
        var passwordCredential = new PasswordCredential { DisplayName = "Auto-Generated Secret" };
        var createdSecret = await graphClient.Applications[createdApp.Id].AddPassword.PostAsync(passwordCredential);
        Console.WriteLine($"生成的客户端密钥：{createdSecret.SecretText}");
    }
    catch (Exception ex)
    {
        Console.WriteLine($"创建应用失败：{ex.Message}");
    }
}

3. 权限说明 #

管理员登录时需要授予Application.ReadWrite.All权限（这是创建Entra应用的最低权限要求），授权后程序即可在目标租户中创建应用。

后续自动化扩展 #

应用创建完成后，你可以直接使用返回的AppId和生成的客户端密钥，完成后续的清单编辑、权限添加等操作，实现CalendarSync部署的全流程自动化。

内容的提问来源于stack exchange，提问作者codemanian_helloworld