使用Microsoft Graph API访问外部用户共享OneDrive项的问题

问题定位 #

跨组织访问OneDrive共享文件夹是完全可行的，你遇到的itemNotFound错误核心原因是访问目标租户O2资源时使用了原租户O1的令牌，结合配置调整和令牌获取逻辑修正即可解决。

具体解决方案 #

1. 检查O2组织的外部协作配置 #

• 无需将U1添加为O2的外部来宾用户，但需确保O2的Azure AD外部协作策略允许跨租户共享：
  • 登录O2的Azure AD门户，进入外部身份 > 外部协作设置
  • 将“来宾用户访问权限限制”设置为「来宾用户具有与成员用户相同的访问权限」（至少需允许来宾访问共享文件）
  • 确保“允许组织外部用户邀请”选项处于开启状态

2. 确认应用的多租户配置与权限 #

• 再次验证应用注册的多租户属性：Azure AD门户>应用注册>概述>支持的账户类型，选择「任何组织目录中的账户」
• 权限调整：除Files.ReadWrite.All外，添加委托权限Sites.ReadWrite.All（跨租户共享的文件夹通常关联到O2的站点库，需该权限支持），并确保管理员已授予权限同意

3. 用MSAL.NET获取目标租户O2的访问令牌 #

核心是为O2租户生成专属令牌，而非默认的O1租户令牌，代码示例如下：

using Microsoft.Identity.Client;
using Microsoft.Graph;
using System.Net.Http.Headers;

// 初始化MSAL公共客户端
var pca = PublicClientApplicationBuilder
    .Create("你的应用ClientID")
    .WithAuthority(AadAuthorityAudience.AzureAdMultipleOrgs)
    .WithRedirectUri("http://localhost") // 桌面应用默认重定向URI
    .Build();

// 定义所需权限范围
var scopes = new[] { "https://graph.microsoft.com/Files.ReadWrite.All", "https://graph.microsoft.com/Sites.ReadWrite.All" };

// 从sharedWithMe返回的DriveItem中提取O2租户ID（siteId格式：租户ID,站点ID,WebID）
var o2TenantId = "从remoteItem.parentReference.siteId中提取的O2租户ID";

// 获取针对O2租户的令牌
var authResult = await pca.AcquireTokenInteractive(scopes)
    .WithTenantId(o2TenantId) // 关键：指定目标租户O2
    .WithAccount(await pca.GetAccountAsync("U1的用户ID")) // 使用已登录的U1账户
    .ExecuteAsync();

// 初始化Graph客户端，使用O2租户的令牌
var graphClient = new GraphServiceClient(new DelegateAuthenticationProvider(request =>
{
    request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", authResult.AccessToken);
    return Task.CompletedTask;
}));

// 调用接口获取共享文件夹
var targetDriveItem = await graphClient.Drives["remoteItem-driveId"].Items["remoteItem-id"]
    .Request()
    .GetAsync();

4. 验证令牌有效性 #

使用JWT解析工具检查令牌：

• tid字段需为O2的租户ID
• scp字段需包含Files.ReadWrite.All和Sites.ReadWrite.All权限
• aud字段需为https://graph.microsoft.com

5. 代码细节检查 #

• 确保使用的remoteItem-driveId和remoteItem-id是sharedWithMe接口返回的完整值，无字符遗漏
• 请求Graph API时使用通用端点https://graph.microsoft.com/v1.0/，不要指定O1租户的专属端点

内容的提问来源于stack exchange，提问作者marzipan