Azure AD登录集成及AD用户删除状态每日校验相关问题咨询

1. 登录创建本地账号的方案可行性 #

你提到的调用/authorization、/token、/userinfo三个端点的方案是正确的，这是标准OIDC授权码流的实现逻辑，完全可以满足获取用户Azure AD身份信息、创建本地账号的需求。
额外优化建议：可以在应用注册的令牌配置中，开启groups声明返回，用户登录时直接从ID令牌中判断用户是否属于目标用户组，非组内用户直接拦截拒登，避免为无权限用户创建冗余本地账号。

2. Graph API接口疑问解答 #

• 关于GET /users接口：如果你申请的是应用类型的User.Read.All权限且已获得管理员同意，该接口默认返回客户Azure AD租户内的所有启用状态用户，并非仅你的应用有权限访问的用户。如果是委托类型权限，返回范围会受登录用户的权限限制。
• 关于GET /groups/<id>/members接口：该接口完全符合你的需求，调用后可以直接拿到指定用户组的所有成员列表，是你做用户同步的最优选择，比拉取全量用户再过滤效率更高。

3. 保存Access Token/Refresh Token做同步的方案可行性 #

该方案逻辑上可运行，但不推荐使用。Refresh Token存在最长1年的有效期，且用户修改密码、租户配置变更等操作都会导致Refresh Token提前失效，无人值守的CRON任务很容易因为令牌失效中断同步。
更稳定的方案是为你的应用申请应用类型的GroupMember.Read.All和User.Read.All权限，使用客户端凭证流获取Access Token，无需依赖用户的Refresh Token，只要应用权限未被撤销，每次CRON运行时都可以主动获取有效令牌，稳定性更高。
另外你提到的逐个校验已创建账号状态的逻辑可行，但效率偏低，更建议每日直接拉取目标组的最新成员列表，和本地存储的该客户账号列表做差集比对，不在最新成员列表中的账号直接判定为失效即可。

4. Postman调用Graph API报错解决方案 #

你遇到的Access token is empty报错是因为请求未携带有效的授权头。正确调用流程如下：

1. 从你在Azure AD的应用注册页获取三个参数：客户端ID(Client ID)、客户端密钥(Client Secret)、租户ID(Tenant ID)
2. 先调用OAuth令牌接口获取Access Token：
   请求地址：https://login.microsoftonline.com/<你的租户ID>/oauth2/v2.0/token
   请求方法：POST
   请求体（form-data格式）：

   grant_type: client_credentials
   client_id: <你的客户端ID>
   client_secret: <你的客户端密钥>
   scope: https://graph.microsoft.com/.default
   

3. 拿到返回的access_token后，在调用Graph API的请求头中添加授权字段：

   Authorization: Bearer <你获取到的access_token>
   

即可正常调用接口。注意你申请的User.Read.All权限必须是应用权限类型，且已经由客户租户的管理员完成同意授予，否则会返回权限不足的错误。

内容的提问来源于stack exchange，提问作者Dennis