Azure B2C社交账户调用Microsoft Graph API失败问题咨询

核心问题原因 #

社交账户在Azure B2C里属于外部标识用户，和本地账户的权限映射、令牌要求逻辑不一样，但绝对不是不能调用Graph API。你遇到的Failed to acquire token报错，大概率是以下几个点出了问题：

• 令牌受众不对：如果你的应用获取的是针对B2C自定义策略/用户流的令牌（受众是https://<你的租户>.b2clogin.com/<你的租户>.onmicrosoft.com/<策略名>），而非Microsoft Graph的专属令牌（受众必须是https://graph.microsoft.com），调用Graph时肯定会鉴权失败。
• 应用权限没配全：调用/users/{userID}接口，你的应用需要在Azure AD（注意是主Azure AD，不是B2C的应用注册）里配置User.Read.All或者User.ReadBasic.All的应用权限，并且必须完成管理员同意。社交账户本身不需要额外权限，关键是调用Graph的应用有没有读外部用户的权限。
• 用户ID用错了：社交账户在Graph里的唯一标识是Azure B2C分配的Object ID，不是微信/Google这些社交平台的原生ID，确认你传的{userID}是B2C门户里显示的那个对象ID。

快速排查步骤 #

1. 先查令牌内容：把调用Graph时用的令牌解码后，检查aud字段是不是https://graph.microsoft.com，iss是不是https://login.microsoftonline.com/<租户ID>/v2.0，如果是B2C的域名就错了。
2. 检查权限配置：登录Azure门户，找到主Azure AD的应用注册（不是B2C的那个），添加User.Read.All应用权限，点“授予管理员同意”，然后重新获取令牌试试。
3. 核对用户ID：去Azure B2C门户的“用户”列表里找到那个社交用户，复制它的Object ID替换掉接口里的{userID}再调用。

总结 #

Azure B2C的社交账户完全支持通过Graph API读取信息，不存在官方限制。你这个问题就是令牌获取流程或者权限配置没到位，按上面的步骤排查基本就能解决。

内容的提问来源于stack exchange，提问作者Matthias