无需应用注册（客户端ID）能否获取Azure AD令牌调用GraphAPI？

是否需要创建应用注册？ #

肯定需要。哪怕你的登录用户已经能在Azure门户操作AD资源，你用PublicClientApplicationBuilder构建的是一个OAuth2公共客户端，Azure AD必须通过应用注册来识别这个客户端的合法身份，否则会直接拒绝你的令牌请求——系统无法确认这个客户端的可信度。

是否必须配置权限？ #

是的，必须在应用注册里配置对应的委托权限。用户本身在门户有操作权限是用户层面的权限，但Graph API的权限模型要求，客户端应用得先被授予对应的权限范围，用户在交互登录时（或者由管理员提前为全组织用户同意权限），才能拿到带有这些权限的访问令牌。比如你要调用Graph API修改AD组，就得在应用注册里添加Group.ReadWrite.All这类委托权限。

针对企业内网应用的额外提示 #

• 把应用注册设为单租户，只允许你们公司内部的用户使用，契合内网应用的安全需求。
• 让管理员提前完成管理员同意操作，这样用户登录时就不用手动确认权限，使用体验更顺畅。
• 代码里要用到应用注册的ClientId和租户ID，示例代码如下：

var pca = PublicClientApplicationBuilder
    .Create("你的应用注册ClientId")
    .WithTenantId("你的Azure AD租户ID")
    .Build();

// 替换成你实际需要的Graph API权限范围
var requiredScopes = new[] { "User.Read", "Group.ReadWrite.All" };
var tokenResult = await pca.AcquireTokenInteractive(requiredScopes).ExecuteAsync();

内容的提问来源于stack exchange，提问作者oflahero