如何配置 Azure AD 权限以从 WebJob 控制台应用程序访问 Microsoft Graph？

Question

我无法在 WebJob（基本上是控制台应用程序）中访问 Microsoft Graph。当我尝试从 AD 获取用户时，出现“权限不足，无法完成操作”错误。

我正在构建一个计划的网络作业，它应该不时同步用户详细信息。为此，我连接到图表，获取用户。 如果我代表用户使用真实用户令牌进行身份验证，则相同的代码可以工作，但它需要用户打开 Web 应用程序并单击按钮。

我有要连接的应用程序 ID 和密码，但它是在过去为 Web 应用程序本身生成的。它应该在我的场景中工作还是我应该生成一个单独的 Id/secret 并以不同的方式配置它。

这里有一些代码：

var pages = activeDirectoryClient.Users.Where(adItem => adItem.Mail == o.Email).ExecuteAsync().Result;


var activeDirectoryClient = new ActiveDirectoryClient(serviceRoot, async () => await GetTokenAsync(authContext, azureAdParameters.UserObjectId, azureAdParameters.HostUrl));

ActiveDirectoryClient 用于获取用户数据，但它来自 Microsoft.Azure.ActiveDirectory.GraphClient 是否需要 Microsoft Graph API 权限或 Azure AD Graph API 权限？

谢谢

Answer 1

WebJob 不是公共客户端 - 它是机密客户端。当需要获取令牌时没有用户在场进行身份验证并且它知道如何保护机密（这是机密客户端的定义）。它需要自己进行身份验证。您需要为其授予适当的 Application 权限（User.Read.All 是 委派 权限 - 它不起作用），如果管理员需要，请征得他们的同意并使用使用 ClientCredentials 的 AcquireToken 方法（应用程序 ID 和对称密钥，或者，最好是 X509 证书）。

Answer 2

您的旧网络应用注册似乎缺少所需的应用权限。所以我的建议是：

1. 在 Azure AD 中注册新应用程序；
2. 授予它 Microsoft Graph API 权限（应用程序）：User.Read.All 和 Directory.Read.All；
3. 为新的应用注册生成一个新的客户端密码；
4. 重新配置您的 WebJob 以使用新的应用程序客户端 ID 和密码。

希望对你有帮助。