MS Graph API读取用户正常但更新失败：权限不足问题排查

我正在使用Microsoft Graph API访问Azure B2C租户，读取用户操作完全正常，可获取用户所有数据，且此前刚通过Graph API成功创建该用户，但执行UpdateAsync请求时出现报错：

Message: Insufficient privileges to complete the operation.

相关代码如下：

var scopes = new[] { "https://graph.microsoft.com/.default" };
var clientSecretCredential = new ClientSecretCredential(_azureB2CSettings.Value.TenantId,
    _azureB2CSettings.Value.AppId.ToString(), _azureB2CSettings.Value.ClientSecret);
var graphClient = new GraphServiceClient(clientSecretCredential, scopes);
var user = await graphClient.Users[azureVetOsId.ToString()].Request().GetAsync();
if (user == null)
{
    throw new AzureB2CUserNotFound(azureVetOsId.ToString());
}

user.PasswordProfile = new PasswordProfile()
{
    Password = newPassword,
    ForceChangePasswordNextSignIn = false,
};

await graphClient.Users[azureVetOsId.ToString()].Request().UpdateAsync(user);

我已检查Azure中应用注册的权限，User.ReadWrite.All已正确配置，请问可能的原因是什么？

可能的原因及解决方案 #

• 权限未完成管理员同意：User.ReadWrite.All属于应用权限，必须由租户管理员点击"授予管理员同意"才能激活。检查应用注册的「API权限」页面，确认该权限的状态显示为"已授予[你的租户名]同意"。

• 修改密码需特定权限配置：在Azure B2C场景中，更新PasswordProfile除了User.ReadWrite.All，还需要确保应用拥有足够的权限操作密码。可以尝试添加Directory.AccessAsUser.All权限并完成管理员同意，同时检查B2C租户的用户设置是否允许应用直接修改用户密码。

• 权限缓存延迟：刚添加的权限可能存在同步延迟，尤其是使用/.default范围时。可以尝试重新生成客户端密钥，或等待10-15分钟让权限在租户中同步生效后再测试。

• 用户类型限制：如果该用户是通过外部身份提供商（如Google、Facebook）创建的联合身份用户，这类用户的密码不由Azure B2C管理，无法通过Graph API修改PasswordProfile。确认用户是否为本地B2C用户。

• Graph API版本问题：确保使用的是稳定版Graph API（如v1.0），beta版本可能存在权限限制或行为差异，导致更新操作失败。

内容的提问来源于stack exchange，提问作者PassionateDeveloper