Azure AD委托权限下调用Graph API遇权限拒绝问题求助

你遇到的问题核心是权限类型和认证流程不匹配，我来帮你拆解清楚并给出修正方案：

问题根源 #

你当前代码用的是客户端凭证流（AcquireTokenForClient），这个流程是让应用以自身身份访问Graph API，不需要用户参与，对应的权限类型必须是Application（应用权限）。但你持有的是Delegated（委托权限）——这种权限是代表具体用户访问API的，必须搭配需要用户交互的认证流程（比如授权码流、交互式登录流），所以用客户端凭证流时，你的Delegated权限根本不会生效，自然会抛出权限不足的错误。

修正方案（适配Delegated权限） #

既然你拥有的是Delegated权限，我们把认证流程改成交互式登录流（适合控制台应用场景），具体步骤如下：

1. 先调整应用注册的重定向URI：
   登录Azure AD应用注册页面，把重定向URI设置为https://login.microsoftonline.com/common/oauth2/nativeclient（这是控制台/桌面应用的标准重定向URI）。

2. 修改C#代码：

   using Microsoft.Graph;
   using Microsoft.Identity.Client;
   using System.Net.Http.Headers;
   
   var clientID = "你的客户端ID";
   var tenantID = "你的租户ID";
   var redirectUri = "https://login.microsoftonline.com/common/oauth2/nativeclient";
   
   // 初始化公共客户端应用（适配桌面/控制台场景）
   var app = PublicClientApplicationBuilder.Create(clientID)
       .WithTenantId(tenantID)
       .WithRedirectUri(redirectUri)
       .Build();
   
   // 指定Delegated权限的具体Scope，不要用.default（.default多用于Application权限）
   string[] scopes = new string[] { "User.Read", "Users.ReadAll" };
   
   try
   {
       // 弹出交互式登录窗口，让用户完成登录获取令牌
       var result = await app.AcquireTokenInteractive(scopes).ExecuteAsync();
   
       var graphClient = new GraphServiceClient(new DelegateAuthenticationProvider(async (requestMessage) =>
       {
           requestMessage.Headers.Authorization = new AuthenticationHeaderValue("bearer", result.AccessToken);
       }));
   
       // 获取用户列表
       var users = await graphClient.Users.Request().Top(99).GetAsync();
       foreach (var user in users)
       {
           Console.WriteLine($"用户名: {user.DisplayName}, 邮箱: {user.Mail}");
       }
   
       // 获取组织信息
       var organization = await graphClient.Organization.Request().GetAsync();
       Console.WriteLine($"组织名称: {organization.First().DisplayName}");
   }
   catch (MsalException ex)
   {
       Console.WriteLine($"认证错误: {ex.Message}");
   }
   catch (ServiceException ex)
   {
       Console.WriteLine($"Graph API错误: {ex.Message}");
   }
   

额外可选方案（若想使用客户端凭证流） #

如果你确实不需要用户参与，想让应用以自身身份访问，那需要：

• 回到Azure AD应用注册，添加Application类型的User.Read.All和Organization.Read.All权限
• 让租户管理员授予这些应用权限的管理员同意
• 保留你原来的客户端凭证流代码，此时权限就能正常生效

内容的提问来源于stack exchange，提问作者user3771062