如何使用Microsoft Graph删除Teams频道文件？权限范围配置求助

你遇到的核心问题是客户端凭证流（client_credentials）需要使用应用权限而非委托权限，当前配置的Files.ReadWrite是委托权限，不适用于这种认证方式。

正确的权限配置步骤 #

1. 在Azure AD应用中添加应用权限
   登录Azure门户，找到你的注册应用，添加以下Microsoft Graph应用权限：

   • Files.ReadWrite.All：允许读写所有站点（包括Teams群组对应的SharePoint站点）的文件
   • Group.Read.All：若需通过群组ID定位对应站点，需添加此权限
     注意：添加后必须点击授予管理员同意，应用权限需要租户管理员批准才能生效。

2. 修改脚本中的Scope
   客户端凭证流不支持单独指定委托权限的scope，需使用https://graph.microsoft.com/.default作为scope，这个值会自动包含你在Azure AD中配置的所有应用权限。

修改后的代码片段 #

client_id = "xxx"
client_secret = "xxx"
tenant_id = "xxx"
# 替换为应用权限专属的scope格式
scope = "https://graph.microsoft.com/.default"

token_url = f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token"
headers = {"Content-Type": "application/x-www-form-urlencoded"}
data = f"grant_type=client_credentials&client_id={client_id}&client_secret={client_secret}&scope={scope}"
response = requests.post(token_url, headers=headers, data=data)

# 增加错误处理，避免令牌获取失败时抛出KeyError
if response.status_code != 200:
    print(f"令牌获取失败：{response.json()}")
else:
    access_token = response.json()["access_token"]

额外提示 #

Teams群组的文件实际存储在对应SharePoint站点的文档库中，后续操作需通过Graph API定位该站点，例如通过群组ID获取站点根目录：

GET https://graph.microsoft.com/v1.0/groups/{group-id}/sites/root

内容的提问来源于stack exchange，提问作者Grobln