使用Microsoft Graph访问其他用户OneDrive遇权限及资源缺失问题

首先，你转到Azure门户重新注册应用的做法完全正确——旧的apps.dev.microsoft.com注册的应用属于遗留应用，只会显示在Azure门户的“企业应用”板块，无法在“应用注册”里直接管理权限，所以重新注册是解决权限管理问题的关键一步。

针对现在调用/v1.0/users/{userid}/drive返回itemNotFound的问题，我们可以从以下几个方向排查：

1. 确认目标用户的OneDrive是否已初始化 #

很多时候，新创建的用户或者从未登录过OneDrive的用户，其个人Drive还没有被系统创建。解决方法很简单：

• 让目标用户登录OneDrive网页版，确认能正常访问自己的存储空间。这一步会触发系统自动创建用户的个人Drive，之后你再调用接口就能找到资源了。

2. 检查权限是否已完成管理员同意 #

即使你在应用注册里添加了所有需要的权限，必须点击“授予管理员同意”按钮才能让这些权限生效，尤其是应用权限（Application Permissions）：

• 进入Azure门户的应用注册页面，找到你的应用 → 切换到“API权限”标签页 → 点击页面顶部的“授予管理员同意”按钮（因为你是全局管理员，有权限完成这个操作）。
• 完成同意后，等待几分钟让权限生效，再重新获取令牌调用接口。

3. 确认你使用的令牌类型和权限匹配 #

根据你的需求（访问其他用户的OneDrive），推荐使用应用权限+客户端凭据流来获取令牌，而不是之前的授权码流：

• 授权码流是基于用户上下文的，即使你是全局管理员，委托权限的访问范围可能会受限于当前用户的实际权限；而应用权限是应用本身的身份，拥有独立的访问权限，更适合跨用户访问资源。
• 获取应用权限令牌的请求示例：

  POST https://login.microsoftonline.com/{你的租户ID}/oauth2/v2.0/token
  Content-Type: application/x-www-form-urlencoded
  
  grant_type=client_credentials
  &client_id={你的应用ID}
  &client_secret={你的应用密钥}
  &scope=https://graph.microsoft.com/.default
  

• 用这个新获取的令牌调用/v1.0/users/{userid}/drive，应该能正常返回用户的Drive信息。

4. 验证用户ID的正确性 #

确保你使用的userid是用户的Object ID，而不是用户的UPN（虽然部分场景下UPN也能生效，但Object ID是最可靠的标识符）：

• 调用/v1.0/users接口，从返回结果中提取目标用户的id字段（即Object ID），用这个值替换请求路径中的userid再尝试调用。

另外，你也可以先调用/v1.0/users/{userid}/drives接口，查看该用户所有的Drive列表。如果返回空数组，那基本可以确定用户的Drive还未初始化，按照第一步的方法处理即可。

内容的提问来源于stack exchange，提问作者Shira Ben-Dor