如何延长Azure AD颁发的Microsoft Graph AccessToken有效期至3个月以上

首先明确：Microsoft Entra ID（原Azure AD）不支持签发有效期超过24小时的Access Token，不存在直接获取3个月以上长生命周期Access Token的方案，你之前配置令牌生命周期策略不生效是平台硬限制导致，不是配置操作有误。

策略配置不生效的原因 #

• 平台当前对Access Token的有效期做了全局硬上限，无论怎么配置自定义令牌生命周期策略，Access Token最长有效期都不会超过24小时，超出阈值的配置会被系统直接忽略。
• 你涉及的SMTP、POP、IMAP这类邮件协议相关的资源令牌，平台限制更严格，默认有效期就是60-90分钟，自定义策略优先级低于平台默认的安全规则，不会对这类令牌生效。

可落地的替代方案 #

不要尝试突破Access Token的有效期限制，用官方标准的令牌续期机制就能满足长期调用的业务需求，稳定性远高于硬改令牌时长：

1. 基于Refresh Token实现无感知长期访问
   • 走授权码流、设备码流等支持离线访问的OAuth流程申请令牌时，只要加上offline_access权限，就会同步拿到Refresh Token。这类令牌默认有效期90天，只要租户开启了持续访问评估、且令牌处于活跃使用状态，会自动续期，理论上可以实现永久有效，完全满足超过3个月的使用要求。
   • 实现逻辑：服务端加密存储Refresh Token，在Access Token过期前/过期后，调用令牌端点用Refresh Token换取新的Access Token和续期后的Refresh Token，全程不需要用户重新交互授权，业务侧无感知。
   • 注意：如果应用注册为公共客户端，Refresh Token有效期会被压缩到24小时；要拿90天有效期的Refresh Token，需要将应用注册为机密客户端，配置客户端证书或密钥做服务端身份校验。
2. 邮件场景的适配优化
   针对你用到的SMTP/POP/IMAP/OpenID集成场景：
   • 如果是后台服务类场景不需要代表具体用户操作，直接走客户端凭据流申请应用权限的Access Token，服务端自动触发刷新逻辑即可，不需要用户参与。
   • 如果是代表用户访问邮箱的委托权限场景，把Refresh Token加密存在服务端，每次Access Token临近过期时自动刷新，再生成对应邮件协议需要的鉴权凭证即可，不需要额外的用户操作。

避坑提示 #

• 不要花时间调试自定义令牌生命周期策略试图拉长Access Token时长，平台层的硬限制无法通过租户配置突破。
• Refresh Token属于高敏感凭证，必须加密存储在服务端，禁止下发到前端或客户端本地，一旦出现泄露要立刻在Entra ID后台撤销对应应用的所有刷新令牌。
• Access Token本身的短生命周期设计就是为了降低令牌泄露后的安全风险，强行拉长Access Token有效期不符合安全最佳实践，微软也不会开放相关配置。

内容的提问来源于stack exchange，提问作者user3907444