使用MS Graph Client创建OnlineMeetings订阅时遇租户不匹配错误

错误原因 #

The meeting tenant does not match the token tenant. 错误的核心是你获取访问令牌时使用的租户ID，与会议所在的Teams开发者租户ID不匹配。

你的应用是多租户应用，托管在租户A，而会议资源在租户B（Teams开发者租户）。当你用租户A的ID获取token时，该token的权限范围仅限于租户A，但你要订阅的是租户B的会议资源，因此Graph API判定租户不匹配，返回禁止访问。

解决方案 #

1. 切换令牌获取的租户ID #

修改获取token时的tenantId为Teams开发者租户的ID，而非应用托管租户的ID：

// 替换为Teams开发者租户的ID
const teamsTenantId = "your-teams-dev-tenant-id";

const authContext = await authApp.acquireTokenByClientCredential({
  authority: `https://login.microsoftonline.com/${teamsTenantId}`,
  scopes: ['https://graph.microsoft.com/.default'],
  skipCache: true,
});

因为你已经在Teams租户完成了OnlineMeetings.Read.All权限的管理员授权，使用该租户ID获取的token会拥有访问该租户会议资源的权限。

2. 验证令牌的租户信息 #

获取token后，用JWT解析工具解码查看token的tid字段，确认其值为Teams开发者租户的ID，确保令牌所属租户与会议所在租户一致。

额外调试方向 #

• 检查应用多租户配置：在Azure AD应用注册中，确认"支持的账户类型"设置为"任何组织目录中的账户"，确保应用允许跨租户授权。
• 确认订阅资源格式：Beta版Graph API中，先尝试订阅无过滤的资源/communications/onlineMeetings，确认权限和租户匹配后，再添加过滤条件。部分资源的订阅不支持复杂过滤，需注意格式合规性。
• 核对权限授权状态：在Teams开发者租户的Azure AD中，确认应用的OnlineMeetings.Read.All权限已被管理员授予且状态为"已同意"。

内容的提问来源于stack exchange，提问作者ahash