Azure Function仅用委派权限读取AAD用户详情失败问题排查

结论：可以，但当前代码的授权流程完全错误，必须改用带用户上下文的委派授权流程。

核心问题分析 #

你当前使用的是client_credentials（客户端凭证）授权流程，这个流程是专门给应用权限设计的——它获取的Token是以应用身份运行，完全不关联任何用户，所以哪怕你配置了委派权限，这个流程也不会使用这些权限，调用Graph时自然会触发授权错误。

委派权限的核心是必须有用户上下文，也就是说，你需要基于某个用户的身份去请求Token，常用的适配Azure Function的流程有两种：

场景1：Azure Function被其他已认证应用调用（最常见） #

用On-Behalf-Of（OBO）流程，即通过前端/上游应用传入的用户Token，换取Graph的访问Token。

调整步骤 #

1. 确保你的Azure Function对应的AD应用已配置正确的委派权限（比如User.Read.All或User.ReadBasic.All），且管理员已完成权限同意。
2. 修改Token获取逻辑，替换原来的GetTokenFromServer方法：

private async Task<IAuthenticator> GetTokenOnBehalfOf(string userAccessToken)
{
    try
    {
        var request = new RestRequest()
            .AddHeader("Content-Type", "application/x-www-form-urlencoded")
            .AddParameter("client_id", "你的客户端ID")
            .AddParameter("client_secret", "你的客户端密钥")
            .AddParameter("grant_type", "urn:ietf:params:oauth:grant-type:jwt-bearer")
            .AddParameter("assertion", userAccessToken) // 上游应用传入的用户Token
            .AddParameter("requested_token_use", "on_behalf_of")
            .AddParameter("scope", "https://graph.microsoft.com/User.Read.All"); // 匹配你的委派权限

        var tokenResponse = await new RestClient("https://login.microsoftonline.com/你的租户ID/oauth2/v2.0/token").ExecutePostAsync<TokenResponse>(request);
        var result = JsonConvert.DeserializeObject<dynamic>(tokenResponse.Content);
        string token = result.access_token;
        return new JwtAuthenticator(token);
    }
    catch (Exception ex)
    {
        return new JwtAuthenticator("error");
    }
}

3. 在调用FindUserByEmail时，传入上游应用传递的用户AccessToken，用新方法获取Graph Token。

场景2：用户直接触发Azure Function（比如HTTP触发带登录） #

启用Azure Function的Easy Auth功能，让用户通过AAD登录后访问Function，然后从请求头中直接获取用户的Graph Token（或用OBO流程换取更高级权限的Token）：

1. 在Azure Portal开启Function的Easy Auth，选择AAD作为身份提供商。
2. 从请求头X-MS-TOKEN-AAD-ACCESS-TOKEN中获取用户的AccessToken。
3. 直接用这个Token调用Graph API，或传入OBO流程获取对应权限的Token。

关键注意事项 #

• 委派权限必须关联用户上下文，任何无用户的授权流程（比如client_credentials）都无法使用委派权限。
• 若使用需要管理员同意的委派权限（如User.Read.All），必须让Tenant管理员在Azure AD中完成权限同意操作。
• 上游应用传入的用户Token必须包含足够的权限范围，且与Function的委派权限匹配。

内容的提问来源于stack exchange，提问作者Vimal Kumar