全局管理员通过Microsoft Graph查询用户OneDrive文件报错，求正确调用方式

嘿，我之前处理过类似的场景，全局管理员身份虽然拥有Azure AD的最高权限，但在访问用户OneDrive内容时，还是得遵循Graph API的权限规则和正确的端点调用方式。你遇到的「资源未找到」错误，大概率是两个原因：权限没配置对，或者API端点用错了。

1. 先搞定Graph API权限配置 #

全局管理员账号本身的权限≠Graph API的访问权限，你需要给你的应用注册（或者你用的测试工具比如Graph Explorer）配置对应的权限，并且完成管理员同意：

• 如果你用的是Delegated权限（比如通过Graph Explorer登录自己的全局管理员账号调用），需要添加Files.Read.All、Files.ReadWrite.All、Sites.Read.All或Sites.ReadWrite.All中的任意一个，然后点击「授予管理员同意」（只有全局管理员能做这个操作）。
• 如果你用的是Application权限（后台服务调用，不需要用户登录），同样需要添加上述权限之一，并且完成管理员同意。

2. 使用正确的API端点 #

你当前调用的/v1.0/users/{user-id}/drive/items是错误的——这个端点需要指定具体的DriveItem ID才能查询单个文件/文件夹。如果你想列出用户OneDrive根目录下的所有文件，应该用这个端点：

GET /v1.0/users/{user-id}/drive/root/children

如果要验证用户的OneDrive是否存在（比如新用户可能还没初始化OneDrive），可以先调用这个端点确认：

GET /v1.0/users/{user-id}/drive

如果返回404，说明该用户的OneDrive还未创建，需要用户登录一次OneDrive网页版初始化，或者用API触发初始化（需要额外权限）。

3. 其他排查点 #

• 确认目标用户的OneDrive没有被管理员禁用，或者处于数据保留/锁定状态。
• 如果用UserPrincipalName替代ID，确保格式完全正确（比如user@domain.com，没有拼写错误）。

举个实际的请求示例（用Bearer token授权）：

GET https://graph.microsoft.com/v1.0/users/427d0a15-69db-4ab1-b7ae-542776ef53ed/drive/root/children
Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6...

这样调整后，应该就能正常获取用户的OneDrive文件列表了。

内容的提问来源于stack exchange，提问作者Dogu Arslan