个人Microsoft账户Daemon应用权限问题：调用Graph API返回禁止错误

首先直接给你答案：是的，你遇到的Authorization_RequestDenied错误正是因为User.Read.All（应用权限）需要全局管理员同意，而你的个人Outlook账户不属于任何Azure AD租户的管理员，所以没办法完成这个权限的授权。

接下来给你拆解原因和对应的解决办法：

为什么会报错？ #

你用的是Daemon应用的客户端凭据流（client credentials flow），这种流要求使用应用权限（而非委托权限）。而像User.Read.All这类应用权限，默认需要Azure AD租户的全局管理员手动同意才能生效。但个人Outlook账户对应的是个人Microsoft账户，它并不属于你自己创建的Azure AD租户（而是微软的默认公共租户），你没有这个租户的管理员权限，自然无法授予应用权限的同意。

另外，/users端点是针对Azure AD租户的批量用户查询接口，个人Microsoft用户本来就没有访问这个端点的权限——哪怕你拿到了权限，你的个人账户所在的租户里也只有你自己一个用户，这个接口对你来说其实没什么用。

最简便的实现方式（针对管理自己的Outlook账户） #

既然你只是要管理自己的Outlook账户，完全不需要用Daemon应用的客户端凭据流，换用更适合个人用户的身份验证流+委托权限就可以了，步骤如下：

• 修改应用权限：在Azure门户的应用注册里，把权限从User.Read.All（应用权限）换成委托权限，比如Mail.Read、Mail.Send（根据你实际需要的邮件操作来选）。委托权限不需要管理员同意，你作为账户持有者自己就能直接授权。
• 更换身份验证流：放弃客户端凭据流，改用授权码流或者设备码流。授权码流适合有前端的应用，设备码流适合没有UI的控制台应用（和你之前的Daemon应用场景类似，但用的是委托权限）。
• 调整API调用：把graph.microsoft.com/v1.0/users换成针对当前用户的端点，比如graph.microsoft.com/v1.0/me/messages（查看自己的邮件）、graph.microsoft.com/v1.0/me/sendMail（发送邮件）等，这些端点是个人用户可以正常访问的。

如果确实需要Daemon方式（仅适用于工作/学校账户） #

如果你真的需要用Daemon应用管理多个用户的账户，那你必须改用工作/学校账户（即属于某个Azure AD租户的账户），并且你得是该租户的全局管理员，这样才能授予应用权限的同意。但这种场景对个人Outlook账户来说并不适用。

内容的提问来源于stack exchange，提问作者john