能否通过Azure B2C、客户端凭据认证及Graph API重置用户密码？

结论：可以实现，但因权限配置不全导致报错，需完成以下步骤修复

错误根源 #

客户端凭据模式下，Graph API执行密码重置需要应用权限+Azure AD目录角色双重授权，仅授予API权限不足以完成操作，这就是the user is not authorized to access this resource报错的核心原因。

具体配置步骤 #

• 在Azure B2C租户的应用注册中，创建用于客户端凭据认证的服务主体
• 为该服务主体授予Graph API的应用权限：选择User.ReadWrite.All（或更细粒度的密码重置专属权限），并完成管理员同意操作
• 给服务主体分配Azure AD目录角色：在B2C租户的「角色和管理员」模块中，分配用户管理员或全局管理员角色（只有这类角色允许执行重置其他用户密码的操作）

验证调用示例 #

获取客户端凭据token后，调用Graph API的PATCH接口执行密码重置：

PATCH https://graph.microsoft.com/v1.0/users/{userId}
Content-Type: application/json

{
  "passwordProfile": {
    "password": "YourStrongPassword@123",
    "forceChangePasswordNextSignIn": false
  }
}

避坑提示 #

• 不要混用委托权限：客户端凭据模式仅支持应用权限，委托权限适用于用户交互式登录场景
• 跳过目录角色会导致权限不足：API权限是Graph层面的授权，目录角色是Azure AD层面的操作许可，二者缺一不可
• 确保操作上下文是B2C租户：避免在普通Azure AD租户中配置，B2C租户的权限逻辑有特殊适配

内容的提问来源于stack exchange，提问作者emrekara