使用Microsoft GraphAPI发送邮件时遇OrganizationFromTenantGuidNotFound错误

问题描述 #

我在Laravel应用中通过Client Credentials流获取了带有Mail.Send权限的Microsoft Graph API访问令牌，但调用发送邮件接口时返回以下错误：

{"error":{"code":"OrganizationFromTenantGuidNotFound","message":"The tenant for tenant guid '***************************' does not exist.","innerError":{"oAuthEventOperationId":"d630a3bf-f7b2-4373-872f-6618f21d7429","oAuthEventcV":"bXHKl4PYUfE8FIF62ShkHA.1.1","errorUrl":"https://aka.ms/autherrors#error-InvalidTenant","requestId":"e131128d-d6f1-43da-85ac-88799cac7cac","date":"2024-09-28T09:30:39"}}}

Azure应用已开启多租户，尝试用common替换tenantId获取令牌时提示租户ID无效，求排查解决方法。

排查步骤与解决方案 #

1. 确认租户ID的有效性与正确性 #

• Client Credentials流不支持common端点，必须指定目标邮箱用户所在租户的具体ID，而非应用注册的租户ID。使用common获取令牌必然会提示租户ID无效，这是该认证流的固有限制。
• 获取目标邮箱租户ID的方式：
  • 登录Azure门户，找到目标用户所属的Azure AD租户，直接复制其租户ID；
  • 若已拥有基础Graph API权限，可调用GET https://graph.microsoft.com/v1.0/users/{目标邮箱}接口，返回结果的@odata.context字段中包含租户ID。

2. 验证应用权限配置 #

• 确保Mail.Send是应用权限（Application Permission），而非委托权限（Delegated Permission）。Client Credentials流仅能使用应用权限。
• 登录Azure门户的应用注册页面，进入「API权限」：
  • 确认Mail.Send的权限类型为「应用权限」；
  • 确保该权限已完成管理员同意（权限状态显示为「已授予」）。

3. 修正发送邮件的请求参数错误 #

你的邮件请求存在多处格式问题，会导致API解析失败或逻辑错误：

• Subject字段格式错误：subject应为字符串，而非数组，需将[$this->subject]改为$this->subject；
• Bcc收件人格式错误：多个收件人需拆分为独立对象，不能将所有邮箱放在同一个address字段中；
• 请求参数遗漏：bccRecipients和attachments未包含在message对象中，导致API无法识别。

修正后的发送邮件代码示例：

// 构造正确的邮件数据
$emailData = [
    'subject' => $this->subject, // 改为字符串格式
    'body' => [
        'contentType' => 'HTML', 
        'content' => $newTemplate, 
    ],
    'bccRecipients' => collect($this->mails->toArray())->map(function ($email) {
        return [
            'emailAddress' => ['address' => $email]
        ];
    })->toArray(), // 多收件人拆分为独立对象
    'attachments' => [
        [
            '@odata.type' => '#microsoft.graph.fileAttachment',
            'name' => basename($srcImage),
            'contentBytes' => base64_encode(file_get_contents($srcImage)), 
            'contentId' => 'image', 
        ],
    ],
];

// 调用Graph API发送邮件
$response = Http::withToken($this->token)
    ->post("https://graph.microsoft.com/v1.0/users/{$this->email->email}/sendMail", [
        'message' => $emailData,
        'saveToSentItems' => true, // 用布尔值代替字符串参数
    ]);

4. 确认令牌的租户匹配性 #

通过jwt.io解码令牌时，检查tid字段的值是否与目标邮箱所在租户ID一致。如果tid是应用注册的租户ID，而非目标用户的租户ID，会直接触发OrganizationFromTenantGuidNotFound错误。

内容的提问来源于stack exchange，提问作者Ricky97