调用Microsoft Graph API遇401：Admin On-Behalf-Of模式不支持该API

问题现象 #

• 调用以下Graph API端点时收到401响应，错误提示：Requested API is not supported in Admin On-Behalf-Of mode

  GET https://graph.microsoft.com/beta/chats/{channelId}/messages/{messageId}
  GET https://graph.microsoft.com/v1.0/users/{userId}/joinedTeams
  GET https://graph.microsoft.com/v1.0/me/joinedTeams
  

• 以下API可正常调用：

  GET https://graph.microsoft.com/v1.0/me
  

相关配置信息 #

• 使用带有委托权限（delegated scopes）的令牌
• 令牌已包含所需权限：AppCatalog.ReadWrite.All、ChannelMessage.Send、Chat.Create、Chat.Read、Chat.ReadWrite、ChatMember.ReadWrite、Files.Read.All、Files.ReadWrite、Sites.Read.All、Sites.ReadWrite.All、Team.ReadBasic.All、User.Read、User.Read.All、User.ReadBasic.All、User.ReadWrite.All、profile、openid、email
• 此前使用同一令牌可正常调用
• v1.0和beta端点均出现该问题
• 尝试移除各权限的管理员同意后问题仍存在

后续更新 #

已在租户中复现问题，确认仅外部来宾用户会触发该问题：这类用户可成功认证到租户，但无法用获取的令牌调用部分Graph API端点，调整Azure AD外部标识设置后问题仍未解决。

原因分析与解决办法 #

1. OBO模式与来宾用户的权限限制
   Admin On-Behalf-Of（OBO）模式下，来宾用户的权限范围受限于租户的外部协作设置，部分Graph API（尤其是团队、聊天相关）对来宾用户有默认访问限制，即使令牌包含权限，也会因租户来宾权限配置或API本身的来宾兼容性被拦截。

2. 检查API的来宾用户兼容性
   部分团队/聊天类Graph API本身不支持来宾用户调用，比如joinedTeams、聊天消息读取等，需确认目标API的文档中是否明确支持来宾身份（注意：即使权限已分配，API本身可能存在限制）。

3. 调整Azure AD来宾用户权限设置
   重点检查以下配置项：

   • 进入Azure AD → 外部标识 → 外部协作设置，确认「来宾用户的访问权限仅限于其目录对象」是否关闭（若开启，来宾用户无法访问租户内团队、聊天等跨对象资源）
   • 检查Microsoft Teams管理中心 → 组织设置 → 来宾访问，确认已开启「允许来宾访问Teams」，并检查具体团队的成员权限是否允许来宾读取聊天/团队信息

4. 验证OBO流程的令牌有效性
   来宾用户的OBO令牌需确保：

   • 令牌中的tid（租户ID）是资源租户而非来宾用户的主租户ID
   • 令牌的scp声明包含的权限确实是资源租户已授予的（避免因权限来自来宾主租户导致无效）

5. 替代方案（若API确实不支持来宾OBO）
   若目标API无法支持来宾用户的OBO调用，可考虑：

   • 使用应用权限（application permissions）替代委托权限，通过服务主体直接调用API（需确保应用权限已获得管理员同意）
   • 引导来宾用户使用直接登录授权的方式获取令牌，而非通过OBO流程

内容的提问来源于stack exchange，提问作者Ian Hannaford