使用本地账户的Azure AD B2C应用调用Ms Graph API报错如何解决？

你提到的Azure B2C租户下由已登录管理员为其他人员创建账号的场景完全支持通过Microsoft Graph API实现，你遇到的InvalidAuthenticationToken伴生Invalid x5t claim报错属于令牌认证环节的配置错误，与场景本身的兼容性无关。

x5t是JWT头部用于声明X.509证书SHA-1指纹的固定字段，出现该报错仅存在以下三类可能：

• 你上传到Azure应用注册的公钥证书，和本地调用时用于签名JWT断言的私钥证书不属于同一密钥对
• 证书已过期、被吊销，或构造请求时仅配置了公钥未关联对应的私钥进行签名
• x5t字段编码不符合要求：该字段要求使用base64url编码，不能使用普通base64编码，也不能保留末尾的=填充字符

1. 独立注册Graph API调用服务主体 #

不要直接复用承载自定义登录/注册策略的前台应用注册，需单独注册用于调用Graph API的应用：

• 在Azure B2C租户的「应用注册」页面新建注册，名称可自定义，无需设置重定向URI
• 进入注册完成的应用页，打开「API权限」 tab，添加Microsoft Graph的Application类型权限（不要选择委托权限），勾选User.ReadWrite.All权限后，点击「授予管理员同意」完成权限激活
• 记录该应用的客户端ID、租户ID信息备用

2. 正确配置证书避免x5t错误 #

如果采用客户端凭证模式做后台调用，按以下步骤配置证书：

1. 生成密钥对：生产环境使用CA签发的正规证书，测试环境可生成自签名证书，导出包含私钥的.pfx格式文件，和仅包含公钥的.cer格式文件
2. 回到刚才注册的Graph应用的「证书和密码」页面，上传.cer公钥文件，记录系统返回的证书指纹值
3. 构造JWT断言时x5t的正确计算方式：取证书的原始指纹字节做SHA-1哈希，将哈希结果转换为base64url编码，移除末尾所有=填充字符后填入JWT头部的x5t字段

3. 接口调用流程 #

第一步：获取Graph API访问令牌 #

请求地址：https://login.microsoftonline.com/{你的B2C租户ID或域名}/oauth2/v2.0/token
请求表单参数：

grant_type: client_credentials
client_id: 刚才注册的Graph应用客户端ID
scope: https://graph.microsoft.com/.default
client_assertion_type: urn:ietf:params:oauth:client-assertion-type:jwt-bearer
client_assertion: 用证书私钥签名生成的JWT断言

第二步：调用用户创建接口 #

拿到令牌后调用POST接口https://graph.microsoft.com/v1.0/users，请求头添加Authorization: Bearer {获取到的访问令牌}，请求体示例：

{
  "accountEnabled": true,
  "displayName": "用户显示名",
  "mailNickname": "邮箱前缀",
  "passwordProfile": {
    "forceChangePasswordNextSignIn": true,
    "password": "符合B2C密码策略的初始密码"
  },
  "identities": [
    {
      "signInType": "userName",
      "issuer": "{你的B2C租户域名，例如xxx.onmicrosoft.com}",
      "issuerAssignedId": "用户登录账号"
    }
  ]
}

4. 前台管理员触发场景的简化方案 #

如果你需要让前台已登录的管理员直接触发用户创建，不需要后台服务中转，可改用委托权限模式，无需配置证书：

• 给前台应用注册添加Microsoft Graph的Delegated类型权限User.ReadWrite.All，授予管理员同意
• 管理员登录应用时，请求User.ReadWrite.All权限scope，直接用管理员登录获取的访问令牌调用用户创建接口即可，不会出现x5t相关错误

内容的提问来源于stack exchange，提问作者D.K. Ananias