Node.js调用Microsoft Graph API读取邮箱遇租户不存在错误的解决方法

需要动态读取指定邮箱（如test@outlook.com）的邮件，但调用Microsoft Graph API时遇到如下错误：

"error": {
   "code": "OrganizationFromTenantGuidNotFound",
   "message": "The tenant for tenant guid '24f192b9-85d3-4710-859a-d0806xxxxxxx' does not exist.",
   "innerError": {
   "oAuthEventOperationId": "8de2a75d-8df8-4a92-935e-660d3a102c5f",
   "oAuthEventcV": "X3bGiYtMYExtlEcJ5dVwWg.1.1",
    "errorUrl": "https://aka.ms/autherrors#error-InvalidTenant",
        "requestId": "042ee1f5-40d0-4936-ae12-79b9bb7bcf23",
        "date": "2024-12-19T08:56:58"
       }
   }

认证代码auth.js：

import * as msal from "@azure/msal-node";

const msalConfig = {
  auth: {
    clientId: process.env.CLIENT_ID,
    authority: process.env.AAD_ENDPOINT + "/" + process.env.TENANT_ID,
    clientSecret: process.env.CLIENT_SECRET,
  },
};

const tokenRequest = {
  scopes: [process.env.GRAPH_ENDPOINT + "/.default"],
};

const apiConfig = {
  uri: process.env.GRAPH_ENDPOINT + "/v1.0/users",
};

const cca = new msal.ConfidentialClientApplication(msalConfig);

/**
 * Acquires token with client credentials.
 * @param {object} tokenRequest
 */
async function getToken(tokenRequest) {
  return await cca.acquireTokenByClientCredential(tokenRequest);
}

export default {
  apiConfig: apiConfig,
  tokenRequest: tokenRequest,
  getToken: getToken,
};

读取邮件的代码：

export default router.get("/", async (req, res) => {
  try {
    const { email } = req.body;
    const token = await emailAuth.getToken(emailAuth.tokenRequest);
    // console.log(token);

    const url = `${emailAuth.apiConfig.uri}/${email}/messages`;
    const accessToken = token.accessToken;
    // console.log(url);
    // console.log(token.accessToken);

    let data = await fetch(url, {
      method: "GET",
      headers: {
        Authorization: `Bearer ${accessToken}`,
      },
    });

    data = await data.json();
    console.log(data);

    return send(res, RESPONSE.SUCCESS, data);
  } catch (err) {
    console.log(err);
    return send(res, RESPONSE.UNKNOWN_ERROR);
  }
});

已完成Azure应用注册，配置了API权限与Authentication，需解决上述错误以读取个人Outlook邮箱邮件。

核心问题分析 #

你当前使用的**客户端凭证流（Client Credentials Flow）**仅适用于访问Azure AD租户内的企业/组织用户邮箱，无法访问个人outlook.com邮箱（这类邮箱属于Microsoft个人账户，不属于任何Azure AD租户）。同时你配置的租户ID无效，要么是ID填写错误，要么是目标邮箱根本不在该租户中。

具体修复步骤 #

1. 切换认证流程
   放弃客户端凭证流，改用授权码流（Authorization Code Flow）或设备授权流（Device Code Flow）。这两种流程需要用户手动登录并授权应用访问其邮箱资源，是访问个人Outlook邮箱的唯一可行方式。

2. 调整应用注册配置

   • 在Azure应用注册的Authentication页面，添加符合你应用场景的重定向URI（授权码流必需）。
   • 将应用的支持的账户类型设置为「任何组织目录中的用户和个人Microsoft账户（例如Skype、Outlook.com）」，确保个人邮箱用户能登录授权。
   • 在API权限页面，删除原有的Application权限，添加Delegated权限（如Mail.Read），面向组织用户需点击「授予管理员同意」，个人用户则会在登录时自行同意。

3. 修改认证代码

   • 调整MSAL初始化逻辑，实现授权码流：先引导用户到Microsoft登录页面获取授权码，再用授权码交换访问令牌。
   • 修改scopes配置，替换为具体的委托权限，例如["https://graph.microsoft.com/Mail.Read"]，而非/.default（/.default仅适用于应用权限）。

4. 调整API调用逻辑
   确保获取到的访问令牌是用户授权后的委托令牌，再调用https://graph.microsoft.com/v1.0/me/messages（当前登录用户邮箱）或指定用户邮箱（需额外权限）的接口。

关键注意事项 #

• 个人Outlook邮箱无法通过客户端凭证流访问，因为不存在对应的Azure AD租户为应用授予应用级权限。
• 若需要访问多个个人用户的邮箱，每个用户都需要单独完成登录授权流程。

内容的提问来源于stack exchange，提问作者sumanth.js