Azure B2C迁移用户时调用创建接口报错，权限配置问题排查

针对你碰到的问题，结合Azure B2C预迁移场景的要求，以下是最可能遗漏的配置项：

• 完成API权限的管理员同意
  你添加的Microsoft Graph相关权限，必须由B2C目录的全局管理员或用户管理员执行「授予管理员同意」操作。仅添加权限但未完成同意，调用API时会直接返回权限不足的错误。

• 确保应用类型与令牌流匹配
  预迁移脚本采用客户端凭据流获取令牌，因此你创建的应用必须是机密客户端（需生成客户端密钥或证书），不能是公共客户端（如SPA应用）。同时获取令牌时，要使用范围https://graph.microsoft.com/.default，而非用户委托类型的权限范围。

• 验证权限类型正确
  批量创建B2C用户需要的是Microsoft Graph的应用权限User.ReadWrite.All，而非委托权限。如果配置的是User.ReadWrite这类委托权限，即便完成同意也无法在无用户上下文的迁移场景中使用。

• 检查操作账户的角色权限
  用于为应用授予权限的账户，必须拥有B2C目录的全局管理员或用户管理员角色，普通账户无法完成管理员同意操作。若当前账户权限不足，需切换至具备对应角色的账户执行操作。

• 确认Graph端点配置正确
  创建B2C用户需调用全球Microsoft Graph端点：https://graph.microsoft.com/v1.0/users，不能使用B2C租户专属的令牌端点或其他非Graph端点，需确保代码中的端点配置无误。

内容的提问来源于stack exchange，提问作者Kamal Rathnayake