本地连接Microsoft Graph API的最优配置方案咨询

开发者阿泽

2026-7-5

本地开发时以应用身份访问Microsoft Graph的无密钥方案

核心思路

复用已部署环境中托管标识对应的应用注册（已配置Graph API应用权限并获得管理员同意），通过Azure CLI模拟该服务主体身份，无需新增客户端密钥或额外权限配置。

步骤1：确认托管标识权限配置

确保你已在Entra ID中为托管标识对应的应用注册添加了所需的Microsoft Graph应用权限（如User.Read.All），且已获得管理员同意。

步骤2：本地通过Azure CLI登录托管标识服务主体

无需客户端密钥，使用设备代码登录方式模拟托管标识身份：

az login --service-principal -u <托管标识的Client ID> --tenant <你的租户ID> --use-device-code

按照提示在浏览器中输入设备代码完成登录，登录后Azure CLI将以该托管标识的身份运行。

步骤3：修改代码实现环境自动适配

将原有的EnvironmentCredential替换为ChainedTokenCredential，组合部署环境用的ManagedIdentityCredential和本地开发用的AzureCliCredential，实现不同环境自动切换：

using Azure.Identity;
using Microsoft.Graph;

var credential = new ChainedTokenCredential(
    new ManagedIdentityCredential(),
    new AzureCliCredential()
);

var graphClient = new GraphServiceClient(credential, new[] { "https://graph.microsoft.com/.default" });