跨租户访问Azure AD应用资源：B2C应用获取MS Graph权限问题

我帮你梳理几个可行的配置调整方向和测试思路，应该能帮你定位并解决问题：

一、先确认Azure AD应用的核心配置是否到位 #

• 确保你的Azure AD应用已经正确公开API，添加的自定义作用域（比如access_as_user）处于启用状态，注意作用域的完整格式是api://{Azure AD应用客户端ID}/{自定义作用域名称}，这个格式不能错。
• 检查Azure AD应用的API权限列表：你需要的MS Graph权限（比如User.Read、Calendars.Read等）必须已经添加，并且完成了管理员同意——委托权限必须经过Azure AD租户管理员同意，才能让B2C用户通过这个应用获取权限。
• 确认Azure AD应用的身份验证设置里，已经把你的B2C租户域名（比如yourtenant.b2clogin.com）添加到已授权的重定向URI，或者在“允许的令牌颁发者”中包含B2C租户。

二、B2C租户侧的配置调整 #

• 在B2C应用的API权限中，要添加Azure AD应用公开的自定义作用域，而不是直接添加MS Graph的权限。操作时选择“我的API”，找到你公开的Azure AD应用，勾选对应的自定义作用域即可——因为B2C应用无法直接请求Azure AD的MS Graph权限，必须通过Azure AD应用做中间代理。
• 如果使用用户流，需要在用户流的应用程序声明中，添加对应自定义作用域的声明，确保这些声明会被包含在ID令牌或访问令牌里。同时检查用户流的令牌颁发设置，确认访问令牌的受众是你的Azure AD应用客户端ID。
• 关于API连接器：如果之前的尝试没生效，先确认API连接器触发的阶段（比如登录后、注册后）是否正确，并且连接器的后端服务是否正确传递B2C用户的令牌，向Azure AD应用发起授权请求来获取MS Graph访问令牌。另外，要确保连接器的后端正确处理OAuth2授权流程，比如用授权码换取Azure AD应用的访问令牌，再调用MS Graph。

三、实用测试思路 #

• 用Postman手动模拟OAuth2流程，一步步排查：
  1. 向B2C授权端点发送请求，获取包含自定义作用域的授权码。
  2. 用授权码向B2C令牌端点请求访问令牌，检查令牌的scp字段是否包含你添加的自定义作用域——如果没有，说明B2C这边的作用域配置有问题。
  3. 拿着这个访问令牌，向Azure AD应用的后端（或其令牌端点）请求MS Graph的访问令牌，看是否能成功获取，以此验证代理流程是否正常。
• 查看Azure AD的审核日志和B2C的日志，查找权限请求失败的具体错误信息（比如“权限不足”“无效作用域”），这些日志能帮你快速定位问题根源。
• 检查Azure AD的企业应用列表，确认B2C应用是否已被添加，并且权限分配是否正确。

四、容易踩的误区 #

• 不要直接在B2C应用中添加MS Graph权限：B2C租户和Azure AD租户是独立的，B2C应用无法直接获取Azure AD租户下的MS Graph权限，必须通过Azure AD应用作为代理层。
• 自定义作用域的格式要精准：拼写错误或者格式不对（比如缺少api://前缀）都会导致令牌中不包含该作用域。
• 管理员同意的主体要正确：必须是Azure AD租户的管理员完成同意，而不是B2C租户的管理员，这点很容易混淆。

内容的提问来源于stack exchange，提问作者CorentinVE