使用PowerShell可连接MS Graph，ADFv2 Web活动连接失败

问题背景 #

我可通过PowerShell使用Azure应用的TenantId、ApplicationId和ClientSecret成功连接Microsoft Graph获取Bearer令牌，但使用相同凭证通过ADFv2的Web活动连接时却失败。两者的差异在于：PowerShell使用个人账号执行，ADF使用系统分配的托管标识（MI）执行。

正常运行的PowerShell代码 #

# Authenticate to Microsoft Graph
Write-Host "Authenticating to Microsoft Graph via REST method"
 
$url = "https://login.microsoftonline.com/$tenantId/oauth2/token"
$resource = "https://graph.microsoft.com/"
$restbody = @{
         grant_type    = 'client_credentials'
         client_id     = $applicationID
         client_secret = $clientSecret
         resource      = $resource
}
     
 # Get the return Auth Token
$token = Invoke-RestMethod -Method POST -Uri $url -Body $restbody
Write-Host "Authenticated - token retrieved of type " $($token.token_type)

执行失败的ADFv2 Web活动配置 #

{
    "url": "https://login.microsoftonline.com/<tenantId>/oauth2/token",
    "method": "POST",
    "headers": {
        "Content-Type": "application/x-www-form-urlencoded"
    },
    "body": "grant_type=client_credentials&client_id=\"<applId>\"&client_secret=\"<client_secret>\"&resource=\"https://graph.microsoft.com/\"",
    "authentication": {
        "type": "MSI",
        "resource": "https://graph.microsoft.com/"
    }
}

错误信息 #

Application with identifier '{appIdentifier}' was not found in the directory '{tenantName}'. This can happen if the application has not been installed by the administrator of the tenant or consented to by any user in the tenant. You may have sent your authentication request to the wrong tenant.

问题原因与解决方案 #

核心问题 #

1. 认证方式冲突：Web活动中同时配置了client_credentials表单参数和MSI认证，ADF会优先使用系统MI发起认证请求，而非你传入的应用凭证——这就是提示“应用不存在”的根本原因，实际请求用的是ADF的MI标识，不是你指定的ApplicationId。
2. 请求Body格式错误：手动编写的body给参数值添加了多余的双引号（比如client_id="<applId>"），application/x-www-form-urlencoded格式不需要给参数值加引号，PowerShell的哈希表会自动处理正确格式，而手动添加的引号会导致凭证解析失败。

修复步骤 #

• 移除MSI认证配置：删除Web活动中的authentication节点，因为你要使用应用密钥的client_credentials流，不需要依赖ADF的系统MI。
• 修正Body格式：去掉参数值的双引号，正确的body内容应为：

  grant_type=client_credentials&client_id=<applId>&client_secret=<client_secret>&resource=https://graph.microsoft.com/
  

排查验证步骤 #

1. 按上述修改Web活动配置后，先测试连接，确认是否能正常获取令牌。
2. 如果仍失败，通过ADF的测试功能查看实际发送的请求内容，检查TenantId、ApplicationId、ClientSecret是否填写正确。
3. 确认ADF所在环境的网络策略（如VNet防火墙、NSG规则）允许访问login.microsoftonline.com和https://graph.microsoft.com/。

内容的提问来源于stack exchange，提问作者Geezer