使用Java SDK对接Azure AD认证失败，请求协助排查

核心问题排查步骤 #

1. 确认环境变量配置正确性 #

DefaultAzureCredential对环境变量命名有严格要求，必须完全匹配以下名称（大小写敏感）：

• AZURE_CLIENT_ID：应用注册的客户端ID
• AZURE_TENANT_ID：Azure AD租户ID
• AZURE_CLIENT_SECRET：应用注册的客户端密钥

修改环境变量后必须重启IDE或终端，确保变量生效。

2. 验证应用注册权限配置 #

要实现Azure AD用户的添加/移除，需为应用注册配置正确的Microsoft Graph权限：

• 登录Azure门户，进入目标应用注册的「API权限」页面
• 添加Microsoft Graph应用权限：User.ReadWrite.All（仅用户管理足够）或Directory.ReadWrite.All（全目录权限）
• 点击「授予管理员同意」（高权限应用权限必须经租户管理员同意才能生效，否则会返回403权限不足错误）

3. 替换为推荐的Microsoft Graph SDK #

原代码使用的AzureResourceManager主要用于管理Azure云资源，并非Azure AD用户管理的最优工具。微软官方推荐使用Microsoft Graph SDK处理AD身份管理操作：

引入Maven依赖

<dependency>
    <groupId>com.microsoft.graph</groupId>
    <artifactId>microsoft-graph</artifactId>
    <version>6.3.0</version>
</dependency>
<dependency>
    <groupId>com.azure</groupId>
    <artifactId>azure-identity</artifactId>
    <version>1.12.0</version>
</dependency>

认证及用户创建示例代码

import com.azure.identity.DefaultAzureCredential;
import com.azure.identity.DefaultAzureCredentialBuilder;
import com.microsoft.graph.models.User;
import com.microsoft.graph.requests.GraphServiceClient;
import okhttp3.Request;

public class ADUserManager {
    public static void main(String[] args) {
        // 初始化默认凭证
        DefaultAzureCredential credential = new DefaultAzureCredentialBuilder().build();

        // 创建Graph服务客户端
        GraphServiceClient<Request> graphClient = GraphServiceClient
                .builder()
                .authenticationProvider(request -> {
                    String accessToken = credential.getToken("https://graph.microsoft.com/.default").block().getToken();
                    request.addHeader("Authorization", "Bearer " + accessToken);
                    return request;
                })
                .buildClient();

        // 构建新用户对象
        User newUser = new User();
        newUser.accountEnabled = true;
        newUser.displayName = "Test User";
        newUser.mailNickname = "testuser001";
        newUser.userPrincipalName = "testuser001@yourtenant.onmicrosoft.com";
        newUser.passwordProfile = new com.microsoft.graph.models.PasswordProfile();
        newUser.passwordProfile.password = "StrongPass_123";
        newUser.passwordProfile.forceChangePasswordNextSignIn = false;

        // 创建用户
        try {
            User createdUser = graphClient.users().buildRequest().post(newUser);
            System.out.println("用户创建成功，ID: " + createdUser.id);
        } catch (Exception e) {
            System.err.println("操作失败: " + e.getMessage());
            e.printStackTrace();
        }
    }
}

4. 调试辅助建议 #

• 提升日志级别：将HttpLogDetailLevel.BASIC改为HttpLogDetailLevel.BODY，查看完整的请求/响应内容，定位是认证失败（401）还是权限不足（403）
• 捕获异常时打印完整堆栈信息，包括错误代码和响应详情，便于精准定位问题

内容的提问来源于stack exchange，提问作者MI Haque