如何正确使用msgraph-sdk？调用OneDrive时遇权限范围错误

核心问题分析 #

你遇到的两个错误都是因为客户端凭证流（Client Credential Flow）的使用逻辑错误：

1. 客户端凭证流是基于应用身份的认证方式，只能使用应用权限，不能用User.Read这种依赖用户上下文的委托权限
2. 客户端凭证流的scope必须是{资源URI}/.default格式，单独的/.default缺少资源标识符，不符合Azure AD的要求
3. 致命问题：/me端点需要关联当前用户上下文，但客户端凭证流没有绑定任何用户，因此根本无法调用该端点

分步解决方案 #

1. 配置Azure AD应用权限 #

• 登录Azure门户，找到你的应用注册
• 进入「API权限」页面，点击「添加权限」→「Microsoft Graph」→「应用权限」
• 添加所需的应用权限（例如要读取用户信息，选择User.Read.All）
• 点击「授予管理员同意」（应用权限必须经过管理员同意才能生效）

2. 修正Scope与代码 #

将scope改为完整的Graph资源URI后缀格式，同时替换/me端点为支持应用权限的端点（比如指定用户ID的/users/{user-id}）。

修正后的代码：

import asyncio
from azure.identity.aio import EnvironmentCredential
from kiota_authentication_azure.azure_identity_authentication_provider import AzureIdentityAuthenticationProvider
from msgraph import GraphRequestAdapter
from msgraph import GraphServiceClient

# 确保已设置环境变量：AZURE_CLIENT_ID, AZURE_CLIENT_SECRET, AZURE_TENANT_ID
credential = EnvironmentCredential()
# 客户端凭证流的正确scope格式：Graph资源URI + /.default
scopes = ['https://graph.microsoft.com/.default']

auth_provider = AzureIdentityAuthenticationProvider(credential, scopes=scopes)
request_adapter = GraphRequestAdapter(auth_provider)
client = GraphServiceClient(request_adapter)

async def get_user():
    # 替换为你要查询的用户ID或用户主体名称（UPN）
    user = await client.users.by_user_id('user@yourdomain.com').get()
    print(f"用户ID: {user.id}, 显示名称: {user.display_name}, UPN: {user.user_principal_name}")

asyncio.run(get_user())

3. 验证环境变量 #

确保运行代码前已设置以下环境变量：

• AZURE_CLIENT_ID: 你的应用注册客户端ID
• AZURE_CLIENT_SECRET: 你的应用注册客户端密钥
• AZURE_TENANT_ID: 你的Azure AD租户ID

关键注意事项 #

• 客户端凭证流适用于后台服务、定时任务等不需要用户交互的场景，所有操作以应用自身身份执行，无用户上下文
• 应用权限必须经过管理员同意，开发环境可直接点击「授予管理员同意」按钮，生产环境建议走正式的管理员同意流程
• 如果需要访问当前用户的信息，应使用委托权限的认证方式（例如Authorization Code Flow），配合用户登录获取的token调用/me端点

内容的提问来源于stack exchange，提问作者Rostislav Aleev