仅获Microsoft Graph应用权限的B2C应用如何重置Azure AD B2C用户密码？

针对你提到的resetPassword接口不支持应用权限调用的问题，这里有几个更优的替代方案，无需依赖专用服务账户：

1. 改用用户认证方法接口（支持应用权限） #

resetPassword确实只开放给委派权限，但Microsoft Graph提供了另一个支持应用权限的接口——Update-MgUserAuthenticationPasswordMethod，可以直接更新用户的密码认证方法：

• 先给你的应用注册分配UserAuthenticationMethod.ReadWrite.All应用权限（需要全局管理员完成权限同意）
• 通过应用身份（托管标识或客户端凭据）调用该接口，无需模拟用户
• 示例.NET代码：

// 先获取目标用户的密码认证方法ID
var passwordMethods = await graphServiceClient.Users["{userId}"]
    .Authentication
    .PasswordMethods
    .GetAsync();
var methodId = passwordMethods.Value.First().Id;

// 更新密码
var newPassword = new Microsoft.Graph.Models.PasswordAuthenticationMethod
{
    Password = "YourStrongPassword123!"
};

await graphServiceClient.Users["{userId}"]
    .Authentication
    .PasswordMethods[methodId]
    .PatchAsync(newPassword);

2. 最小权限化的服务账户方案（优化现有思路） #

如果坚持使用委派权限，可通过以下方式降低专用账户的风险，比单纯存Key Vault更安全：

• 给专用账户仅分配密码管理员角色（而非全局管理员），最小化权限范围
• 配置条件访问策略，限制该账户仅能从你的应用服务固定IP地址发起请求
• 启用Azure AD MFA，并使用证书或硬件密钥作为MFA验证方式，避免密码泄露风险
• 开启Key Vault的密钥自动轮换功能，定期更新账户凭据

3. PIM临时权限激活（高安全场景） #

对安全性要求极高的场景，可借助Azure AD Privileged Identity Management (PIM)：

• 创建一个服务账户，配置为密码管理员角色的合格用户（而非永久分配）
• 仅在需要执行密码重置操作时，通过API或手动激活该角色权限，使用后自动过期
• 配置激活审批流程，并通过Azure Monitor记录所有权限激活和密码重置操作，实现审计追踪

内容的提问来源于stack exchange，提问作者JayChase