Microsoft Graph Api更新B2C用户空值PasswordProfile时权限不足问题

问题根本原因 #

Azure AD B2C用户通过自助注册流程创建时，passwordProfile字段默认留空，此时对该字段执行首次写入操作的权限要求高于后续更新操作。你当前配置的Directory.AccessAsUser.All委派权限仅支持更新已存在的passwordProfile，不支持首次初始化该字段。
你遇到的Graph Explorer可正常调用、调用一次后其他客户端也可调用的现象，本质是登录Graph Explorer的账号本身携带高权限目录角色，完成了passwordProfile的首次初始化，后续低权限请求就可以正常更新已存在的配置。

可行解决方案 #

方案1：调整权限配置（适配委派权限场景） #

• 为调用Microsoft Graph的应用额外添加Directory.ReadWrite.All委派权限，提交租户管理员完成权限同意
• 确保你获取访问令牌时登录的用户账号，已被分配「用户管理员」或「全局管理员」目录角色，API权限和目录角色为两套独立控制逻辑，需同时满足才能完成首次写入

方案2：切换为应用权限（适配后台定时任务场景） #

你的使用场景是后台定时任务，无需用户交互，更推荐使用应用权限模式：

• 移除原有委派权限，为应用添加User.ReadWrite.All应用权限，提交租户管理员完成权限同意
• 调用接口时使用客户端凭证流获取访问令牌，即可直接对所有新注册用户（含passwordProfile为空的用户）执行更新操作，无需依赖登录用户的角色权限

注意事项 #

如果不想提升权限，首次调用更新接口时可完整传入passwordProfile所有必填参数，保持用户原有密码不变即可触发初始化，示例请求如下：

PATCH https://graph.microsoft.com/v1.0/users/{userId}
{
  "passwordProfile": {
    "forceChangePasswordNextSignIn": true,
    "password": "<用户当前的密码>",
    "forceChangePasswordNextSignInWithMfa": false
  }
}

内容的提问来源于stack exchange，提问作者penguin178