PowerShell连接MS Graph API失败，请求排查与解决方法

问题场景 #

我尝试通过PowerShell使用客户端密钥凭证方式连接Microsoft Graph API，执行的代码如下：

$ClientSecretCredential = Get-Credential -Credential "applicationId"
# 在密码提示符中输入client_secret。
Connect-MgGraph -TenantId "tenantId" -ClientSecretCredential $ClientSecretCredential

执行后收到错误：

Connect-MgGraph : ClientSecretCredential authentication failed: A configuration issue is preventing authentication - check the error message from the server for details. You can modify the configuration in the application registration portal. See https://aka.ms/msal-net-invalid-client for details.  Original exception: AADSTS7000215: Invalid client secret provided. Ensure the secret being sent in the request is the client secret value, not the client secret ID, for a secret added to app '*******'. Trace ID: **********
Correlation ID: ************ Timestamp: 2024-03-20 12:15:41Z
At line:1 char:1
+ Connect-MgGraph -TenantId "***********" -Cli ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : NotSpecified: (:) [Connect-MgGraph], AuthenticationFailedException
    + FullyQualifiedErrorId : Microsoft.Graph.PowerShell.Authentication.Cmdlets.ConnectMgGraph

使用相同的Client Id、Client Secret和Tenant Id，通过C# .NET可正常连接MS Graph API，需排查并解决该PowerShell认证错误。

排查与解决步骤 #

1. 修正Get-Credential的输入逻辑 #

Get-Credential的-Credential参数需传入客户端ID（Application ID），弹出的密码框必须输入客户端密钥的完整值（绝非密钥ID）。常见错误是混淆了密钥ID和密钥值，或复制密钥值时遗漏首尾字符/空格。

2. 改用显式创建凭证的方式 #

避免手动输入的歧义，直接通过代码构造凭证：

$clientId = "你的客户端ID"
$clientSecret = "你的客户端密钥值"
$tenantId = "你的租户ID"
$secureSecret = ConvertTo-SecureString $clientSecret -AsPlainText -Force
$clientSecretCredential = New-Object System.Management.Automation.PSCredential ($clientId, $secureSecret)
Connect-MgGraph -TenantId $tenantId -ClientSecretCredential $clientSecretCredential

生产环境建议用安全存储（如Azure Key Vault）替代硬编码密钥值。

3. 验证客户端密钥有效性 #

• 检查密钥是否过期：在Azure AD应用注册的「证书和密码」中确认密钥到期时间。
• 确认密钥未被重置：若密钥曾被重置，旧值会立即失效，必须使用最新生成的密钥值。
• 核对应用权限：确保应用注册已配置正确的应用权限（客户端密钥方式属于应用身份验证，不支持委派权限），且权限已被管理员同意。

4. 更新Microsoft Graph PowerShell模块 #

旧版本模块可能存在认证逻辑bug，执行以下命令检查并更新：

# 查看已安装模块版本
Get-InstalledModule Microsoft.Graph*

# 更新到最新版本
Update-Module Microsoft.Graph

5. 启用调试日志排查差异 #

开启MSAL调试日志，对比C#请求的参数差异：

$env:MSAL_DEBUG = 1
Connect-MgGraph -TenantId $tenantId -ClientSecretCredential $clientSecretCredential

日志会输出认证请求的详细参数，可定位与C#请求的不一致点。

内容的提问来源于stack exchange，提问作者Minesh