使用邮箱调用Microsoft Graph API获取Entra ID时遇权限不足错误

场景描述 #

• 在.NET Web应用中使用Microsoft Graph API，目标是先通过用户邮箱获取其Entra ID，再将用户添加到指定组
• 采用客户端凭据认证流（Client Credentials Auth Flow），已在Azure门户完成应用注册并生成客户端密钥
• 已为应用授予User.Read和User.Read.All的应用权限（权限截图如下）

GraphServiceClient初始化代码 #

public MicrosoftGraphService(IConfiguration configuration)
{
    var scopes = new[] { "https://graph.microsoft.com/.default" };

    var tenantId = configuration["MicrosoftGraph:TenantId"];
    var clientId = configuration["MicrosoftGraph:ClientId"];
    var clientSecret = configuration["MicrosoftGraph:Secret"];
    var options = new ClientSecretCredentialOptions
    {
        AuthorityHost = AzureAuthorityHosts.AzurePublicCloud
    };

    var clientSecretCredential = new ClientSecretCredential(tenantId, clientId, clientSecret, options);

    _graphServiceClient = new GraphServiceClient(clientSecretCredential, scopes);
}

获取用户的实现代码 #

public async Task<GraphUser> GetUserAsync(string emailAddress)
{
    try
    {
        var foundUser = await _graphServiceClient.Users[emailAddress].GetAsync();
        var user = (new GraphUser()
        {
            UserId = foundUser.Id,
            DisplayName = foundUser.DisplayName,
            Email = emailAddress
        });

        return user;
    }
    catch
    {
        // Not found in AD
        return null;
    }
}

触发的错误信息 #

Insufficient privileges to complete the operation.

已配置的应用权限截图 #

问题排查与解决方案 #

1. 确认权限是否完成管理员同意
   客户端凭据流使用的是应用权限，这类权限必须经过全局管理员或特权角色管理员的审批同意才会生效。检查权限列表中User.Read.All旁是否显示"已授予[租户名]"，若显示"需要管理员同意"，需联系管理员完成审批操作。

2. 调整用户查询方式
   直接使用Users[emailAddress]查询时，API默认将传入的邮箱当作UserPrincipalName处理，但部分用户的邮箱可能不等于UserPrincipalName。改用筛选查询更可靠，同时也符合User.Read.All权限的使用场景：

   var result = await _graphServiceClient.Users
       .GetAsync(request => 
           request.QueryParameters.Filter = $"mail eq '{emailAddress}'");
   var foundUser = result.Value?.FirstOrDefault();
   if (foundUser == null) return null;
   
   return new GraphUser()
   {
       UserId = foundUser.Id,
       DisplayName = foundUser.DisplayName,
       Email = emailAddress
   };
   

3. 验证访问令牌的权限声明
   使用jwt.ms解码应用获取的访问令牌，检查roles字段中是否包含User.Read.All。如果没有该角色，说明权限配置未生效，需重新检查应用权限的授予和管理员同意步骤。

4. 提前准备后续组操作的权限
   若后续需要将用户添加到组，还需为应用授予GroupMember.ReadWrite.All或Group.ReadWrite.All应用权限，并完成管理员同意，避免再次出现权限不足的错误。

内容的提问来源于stack exchange，提问作者dickiebow