如何通过Graph API重置Office 365 Azure AD用户密码？权限问题咨询

首先直接给你结论：经租户管理员授权的守护进程应用是完全可以重置组织内用户密码的，但你当前配置的权限不对，这才导致了权限不足的错误。

核心问题分析 #

你的应用使用的是客户端凭证授权流，这个流的特点是应用以自身身份运行，只会识别应用权限，所有的委派权限（比如你配置的Directory.AccessAsUser.All和User.ReadWrite.All的委派部分）在这个流里完全不生效。更关键的是：User.ReadWrite.All应用权限只能读写用户的基本配置文件，并不包含重置密码的权限——这就是为什么你能同步其他用户资料，但密码重置失败的原因。

正确的权限配置 #

要让守护进程应用通过客户端凭证流重置用户密码，你需要给应用添加以下Microsoft Graph应用权限（二选一即可）：

• UserPassword.ReadWrite.All：细粒度权限，专门用于读取和重置用户密码，推荐优先使用这个最小权限
• UserAuthenticationMethod.ReadWrite.All：权限范围更广，除了密码还能管理其他认证方式（如MFA设备）

配置步骤：

1. 登录Azure门户，进入你的应用注册页面
2. 切换到「API权限」选项卡
3. 点击「添加权限」→ 选择「Microsoft Graph」→ 选择「应用权限」
4. 在搜索框中找到上述权限之一，勾选后点击「添加权限」
5. 点击「授予管理员同意」（应用权限必须经过租户管理员同意才能生效）
6. 等待10-60分钟让权限生效，之后再尝试密码重置操作

额外注意事项 #

• 如果你需要重置全局管理员的密码，仅UserPassword.ReadWrite.All是不够的，此时需要给应用配置Directory.ReadWrite.All应用权限，或者给应用分配全局管理员角色（不推荐后者，尽量遵循最小权限原则）
• 确认你的多租户应用已经获得了目标租户的管理员同意，这点你已经提到，没问题

内容的提问来源于stack exchange，提问作者Anand Nandeshwar