如何在C#定时任务中无用户交互自动获取Azure AD令牌调用Graph API

我之前刚好做过类似的定时任务场景，完全自动化无用户交互的Azure令牌获取其实用**客户端凭据流（Client Credentials Flow）**就可以搞定，这正是你看到的“Get access without a user”对应的认证方式。我来一步步给你拆解实现步骤和代码，应该能帮你解决问题。

这是前提，配置错了代码再对也跑不起来：

• 注册后台/守护应用：在Azure门户的Azure AD中新建应用注册，账户类型选“仅限此组织目录中的账户”（多租户场景选对应选项），不需要设置重定向URI。
• 添加应用权限：找到Microsoft Graph，添加你需要的应用级权限（注意是「应用权限」，不是委托权限！）——比如操作用户的话，可能需要User.Read.All、User.ReadWrite.All这类，添加后一定要点击「授予管理员同意」，这一步不做会直接报权限不足。
• 创建客户端密钥：在应用注册的「证书和密码」页面新建客户端密码，保存好生成的密钥值（只会显示一次，别弄丢）。
• 记下三个核心信息：租户ID（Azure AD的目录ID）、客户端ID（应用注册的Application (client) ID）、客户端密钥（刚才生成的）。

推荐用微软官方的MSAL.NET处理令牌逻辑，比自己写HTTP请求稳定得多。

首先安装必要的NuGet包：

Install-Package Microsoft.Identity.Client
Install-Package Microsoft.Graph

然后写核心代码：

using Microsoft.Identity.Client;
using Microsoft.Graph;
using System;
using System.Threading.Tasks;

class Program
{
    // 替换成你的实际信息
    private static readonly string TenantId = "你的租户ID";
    private static readonly string ClientId = "你的客户端ID";
    private static readonly string ClientSecret = "你的客户端密钥";
    // 客户端凭据流固定用这个Graph范围
    private static readonly string[] Scopes = new[] { "https://graph.microsoft.com/.default" };

    static async Task Main(string[] args)
    {
        try
        {
            // 初始化MSAL客户端
            var msalApp = ConfidentialClientApplicationBuilder
                .Create(ClientId)
                .WithClientSecret(ClientSecret)
                .WithAuthority(new Uri($"https://login.microsoftonline.com/{TenantId}"))
                .Build();

            // 无用户交互获取令牌
            var tokenResult = await msalApp.AcquireTokenForClient(Scopes)
                .ExecuteAsync();

            Console.WriteLine($"成功获取令牌：{tokenResult.AccessToken}");

            // 初始化Graph客户端并绑定令牌
            var graphClient = new GraphServiceClient(
                new DelegateAuthenticationProvider(requestMessage =>
                {
                    requestMessage.Headers.Authorization = 
                        new System.Net.Http.Headers.AuthenticationHeaderValue("Bearer", tokenResult.AccessToken);
                    return Task.CompletedTask;
                }));

            // 示例：调用Graph API获取用户列表，验证功能
            var users = await graphClient.Users.Request().GetAsync();
            foreach (var user in users)
            {
                Console.WriteLine($"用户：{user.DisplayName} ({user.UserPrincipalName})");
            }
        }
        catch (Exception ex)
        {
            Console.WriteLine($"执行出错：{ex.Message}");
            if (ex.InnerException != null)
            {
                Console.WriteLine($"内部错误详情：{ex.InnerException.Message}");
            }
        }
    }
}

• 权限不足：检查是否添加的是应用权限，且已授予管理员同意——委托权限是给有用户交互的场景用的，客户端流不支持。
• 令牌获取失败：确认租户ID、客户端ID、密钥值是否复制正确，密钥是否过期（Azure里可以查看密钥有效期）。
• 网络问题：如果定时任务部署在服务器上，要确保服务器能访问Azure登录端点（https://login.microsoftonline.com）和Graph API端点（https://graph.microsoft.com）。

• 不要硬编码密钥！可以用环境变量、Azure Key Vault或者加密配置文件来存储敏感信息，比如把密钥存在Azure Key Vault里，然后让应用通过托管身份去读取，安全性更高。
• 定时任务的运行账户不需要有Azure AD用户权限，因为是应用自身的身份在调用API，只要应用权限配置正确即可。

内容的提问来源于stack exchange，提问作者VetBlack