使用Microsoft Graph API重置密码时如何排查延迟及确认密码就绪状态？

判断新密码何时可用的方法 #

• 实时验证法：通过尝试使用新密码获取访问令牌来验证密码是否生效。可以调用Azure AD的令牌端点，使用密码授权流发起请求：

  POST https://login.microsoftonline.com/{{tenantId}}/oauth2/v2.0/token
  Content-Type: application/x-www-form-urlencoded
  
  client_id={{clientId}}
  scope=User.Read
  username={{userPrincipalName}}
  password={{newPassword}}
  grant_type=password
  

  如果请求成功返回access_token，则说明新密码已可用。注意：该授权流仅适用于特定场景，生产环境中建议优先使用推荐的授权方式，仅将此作为验证手段。
• 属性参考法：查询用户的lastPasswordChangeDateTime属性，该属性会在密码更新后同步更新，但存在一定延迟，只能作为辅助参考，不能完全依赖。查询接口：

  GET https://graph.microsoft.com/v1.0/users/{{userId}}?$select=lastPasswordChangeDateTime
  

更高效的重置密码接口 #

你当前使用的PATCH /users/{{userId}}修改passwordProfile的方式是标准操作，不过可以尝试使用专门的重置密码接口，在部分场景下同步效率可能更高：

POST https://graph.microsoft.com/v1.0/users/{{userId}}/resetPassword
Content-Type: application/json

{
  "newPassword": "111111",
  "forceChangePasswordNextSignIn": false
}

该接口是Microsoft Graph提供的专门用于管理员重置用户密码的端点，本质上和修改passwordProfile的逻辑一致，但部分环境下密码同步到全局实例的速度会略快。

另外需要说明：密码延迟生效的核心原因是Azure AD的密码需要同步到全球多个实例，这个过程本身存在1-2分钟的固有延迟，无法完全消除，上述方法仅能帮助你检测密码是否已完成同步。

内容的提问来源于stack exchange，提问作者Pedro