服务主体密钥登录Microsoft Teams报unknown_user_type错误怎么办

Connect-MicrosoftTeams命令的-Credential参数默认适配个人用户密码认证流程，无法识别服务主体类型的身份，必然触发unknown_user_type: Unknown User Type类的AadAuthenticationFailedException异常，和你当前Az、AzureAD模块基于服务主体的认证逻辑不兼容。

前置准备 #

• 安装2.0.0及以上版本的MicrosoftTeams PowerShell模块，低版本不支持服务主体类的Token接入认证
• 提前在AzureAD中为对应服务主体配置Teams应用所需的委派/应用权限，避免后续操作权限不足

调整后的可运行脚本 #

将原脚本中直接传Credential连接Teams的部分，替换为分资源获取Token的接入方式，完整脚本如下：

# 导入依赖模块
Import-Module Az
Import-Module MicrosoftTeams

# 服务主体基础参数配置
$azureAplicationId = "xxxx"
$azureTenantId= "yyyyy"
$azurePassword = ConvertTo-SecureString "secret" -AsPlainText -Force
$psCred = New-Object System.Management.Automation.PSCredential($azureAplicationId , $azurePassword)

# 完成Az资源模块、AzureAD模块的认证
Connect-AzAccount -Credential $psCred -TenantId $azureTenantId -ServicePrincipal
$context = [Microsoft.Azure.Commands.Common.Authentication.Abstractions.AzureRmProfileProvider]::Instance.Profile.DefaultContext
$aadToken = [Microsoft.Azure.Commands.Common.Authentication.AzureSession]::Instance.AuthenticationFactory.Authenticate(
    $context.Account,
    $context.Environment,
    $context.Tenant.Id.ToString(),
    $null,
    [Microsoft.Azure.Commands.Common.Authentication.ShowDialog]::Never,
    $null,
    "https://graph.windows.net"
).AccessToken
Connect-AzureAD -AadAccessToken $aadToken -AccountId $context.Account.Id -TenantId $context.tenant.id

# 获取Teams专属API范围的认证Token
$teamsApiToken = [Microsoft.Azure.Commands.Common.Authentication.AzureSession]::Instance.AuthenticationFactory.Authenticate(
    $context.Account,
    $context.Environment,
    $context.Tenant.Id.ToString(),
    $null,
    [Microsoft.Azure.Commands.Common.Authentication.ShowDialog]::Never,
    $null,
    "https://api.interfaces.teams.microsoft.com"
).AccessToken

# 基于已获取的双Token连接MicrosoftTeams
Connect-MicrosoftTeams -AadAccessToken $aadToken -AccessToken $teamsApiToken -AccountId $context.Account.Id -TenantId $context.tenant.id

注意事项 #

• 脚本运行时提示的服务主体密钥将存储在C:\Users\jdeclerc\.Azure\AzureRmContext.json的警告，需确保对应目录的访问权限仅开放给当前运行账户，避免密钥泄露风险
• 禁止直接使用Connect-MicrosoftTeams -Credential $psCred的写法接入服务主体，该参数的认证流程无服务主体类型识别能力，必然报错
• 后续若改用服务主体证书替代密钥做认证，仅需调整初始Connect-AzAccount的证书相关参数即可，后续Token获取、Teams连接的逻辑无需改动

内容的提问来源于stack exchange，提问作者johan de clercq