Как создать работающий GraphServiceClient и запросить у Graph имена групп

Вы предоставили Delegated разрешение API, и теперь у вас есть проект API, чтобы мы могли от имени Azure AD выполнить аутентификацию, а затем вызвать Graph API. Я тестирую минимальный проект API (создал новый минимальный API, но выбираю тип аутентификации в качестве платформы Microsoft Identity с использованием шаблона VS), и вот мой код.

using Microsoft.AspNetCore.Authentication;
using Microsoft.AspNetCore.Authentication.JwtBearer;
using Microsoft.Graph;
using Microsoft.Identity.Abstractions;
using Microsoft.Identity.Web;
using Microsoft.Identity.Web.Resource;

var builder = WebApplication.CreateBuilder(args);

// Add services to the container.
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(builder.Configuration.GetSection("AzureAd"))
    .EnableTokenAcquisitionToCallDownstreamApi()
    .AddMicrosoftGraph()
    .AddInMemoryTokenCaches();
builder.Services.AddAuthorization();

// Learn more about configuring Swagger/OpenAPI at https://aka.ms/aspnetcore/swashbuckle
builder.Services.AddEndpointsApiExplorer();
builder.Services.AddSwaggerGen();

var app = builder.Build();

// Configure the HTTP request pipeline.
if (app.Environment.IsDevelopment())
{
    app.UseSwagger();
    app.UseSwaggerUI();
}

app.UseHttpsRedirection();

var scope = app.Services.CreateScope();
var _graphClient = scope.ServiceProvider.GetRequiredService<GraphServiceClient>();

var scopeRequiredByApi = app.Configuration["AzureAd:Scopes"] ?? "";
var summaries = new[]
{
    "Freezing", "Bracing", "Chilly", "Cool", "Mild", "Warm", "Balmy", "Hot", "Sweltering", "Scorching"
};

app.MapGet("/weatherforecast", async (HttpContext httpContext) =>
{
    var groupId = "group_object_id";
    var singleGroup = await _graphClient.Groups[groupId].GetAsync();

    httpContext.VerifyUserHasAnyAcceptedScope(scopeRequiredByApi);

    var forecast = Enumerable.Range(1, 5).Select(index =>
        new WeatherForecast
        (
            DateOnly.FromDateTime(DateTime.Now.AddDays(index)),
            Random.Shared.Next(-20, 55),
            summaries[Random.Shared.Next(summaries.Length)]
        ))
        .ToArray();
    return forecast;
})
.WithName("GetWeatherForecast")
.WithOpenApi()
.RequireAuthorization();

app.Run();

internal record WeatherForecast(DateOnly Date, int TemperatureC, string? Summary)
{
    public int TemperatureF => 32 + (int)(TemperatureC / 0.5556);
}

Вот мои пакеты nuget.

<ItemGroup>
  <PackageReference Include = "Microsoft.AspNetCore.Authentication.JwtBearer" Version = "8.0.8" NoWarn = "NU1605" />
  <PackageReference Include = "Microsoft.AspNetCore.Authentication.OpenIdConnect" Version = "8.0.8" NoWarn = "NU1605" />
  <PackageReference Include = "Microsoft.AspNetCore.OpenApi" Version = "8.0.8" />
  <PackageReference Include = "Microsoft.Identity.Web" Version = "3.1.0" />
  <PackageReference Include = "Microsoft.Identity.Web.DownstreamApi" Version = "3.1.0" />
  <PackageReference Include = "Swashbuckle.AspNetCore" Version = "6.7.3" />
 <PackageReference Include = "Microsoft.Graph" Version = "5.56.0" />
 <PackageReference Include = "Microsoft.Graph.Core" Version = "3.1.18" />
 <PackageReference Include = "Microsoft.Identity.Web.GraphServiceClient" Version = "3.1.0" />
</ItemGroup>

И нам нужно добавить конфигурации в appsettings.json.

"AzureAd": {
  "Instance": "https://login.microsoftonline.com/",
  "Domain": "tenant_id",
  "TenantId": "tenant_id",
  "ClientId": "client_id",
  "ClientSecret": "client_secret",
  "Scopes": "Tiny.Greet",//the api permission name of the api I exposed 
  "CallbackPath": "/signin-oidc"
},

Если у вас есть сомнения по поводу того, как получить пользовательскую область API, следуйте этому руководству, чтобы узнать, как защитить наш API через Azure AD.

Обратите внимание, что поток учетных данных клиента не будет работать с разрешениями типа Delegated. Правильная область для использования с потоком учетных данных клиента: https://graph.microsoft.com/.default.

Первоначально я тоже получил ту же ошибку, когда пытался получить имя группы, предоставив разрешения Delegated с потоком учетных данных клиента:

Чтобы устранить ошибку, добавьте Group.Read.All разрешение типа приложения и обязательно предоставьте на него согласие администратора при работе с потоком учетных данных клиента, как показано ниже:

Когда я снова запустил код после предоставления разрешения типа Application, я успешно получил ответ с именем группы, как показано ниже:

using Azure.Identity;
using Microsoft.Graph;


class Program
{
    static async Task Main(string[] args)
    {
        var tenantId = configuration["AzureAd:TenantId"];
        var clientId = configuration["AzureAd:ClientId"];
        var clientSecret = configuration["AzureAd:ClientSecret"];

        var clientSecretCredential = new ClientSecretCredential(tenantId, clientId, clientSecret);

        var graphClient = new GraphServiceClient(clientSecretCredential, new[] { "https://graph.microsoft.com/.default" });

        string groupId = "groupId";

        try
        {
            var group = await graphClient.Groups[groupId].GetAsync();
            Console.WriteLine($"Group Display Name: {group.DisplayName}");
        }
        catch (ServiceException ex)
        {
            Console.WriteLine($"Error retrieving group info: {ex.Message}");
        }
        catch (Exception ex)
        {
            Console.WriteLine($"An error occurred: {ex.Message}");
        }
    }
}

Ответ: