MS Graph API - AADSTS50126：验证凭据时出错答案

【问题标题】：MS Graph API - AADSTS50126: Error validating credentialsMS Graph API - AADSTS50126：验证凭据时出错
【发布时间】：2020-07-12 20:12:30
【问题描述】：

重复性工作开始失败，我用 Postman 重新创建了该问题。

错误：

"error": "invalid_grant",
"error_description": "AADSTS50126: Error validating credentials due to invalid username or password."
"error_codes": [50126]
"error_uri": "https://login.microsoftonline.com/error?code=50126"

使用的用户名和密码与 MS Graph Explorer 一起使用，因此我确信密码没有更改。我确实更改了grant_type=client_credentials，这很有效，所以我相信其余的设置也是正确的。我最近确实将工作频率从每天提高到每小时，但错误消息表明存在身份验证问题。

我没有什么想法可以尝试和解决问题，也许有人知道我不知道的事情。

邮递员设置：

这些是 MS Power Automate 中使用的生产设置，同上。

【问题讨论】：

您的帐户是否启用了 MFA？
我不认为该帐户已启用 MFA，因为它是系统帐户，但我会调查
确保您的 UserName 和 Password 是正确的，但我会告诉您尝试再次更改它们。
我已经提取了 AD 用户 - 属性并且密码没有被更改。我还提取了帐户活动，上面的应用程序显示失败，但 Office365、OWA 和图形资源管理器的成功，都使用相同的密码。如果我在一两天内没有解决这个问题，我将承诺更改密码。但是许多其他自动化流程都使用此帐户，因此这将是最后的手段。感谢您的建议，我对任何事情都持开放态度，因为这真的很令人费解

标签： authentication oauth-2.0 azure-active-directory postman azure-ad-graph-api

【解决方案1】：

如果它是一个无人值守的进程并使用client credentials 流，则根本没有使用用户名和密码。

仅使用 clientId 和客户端密码获取访问令牌。

如果您能列出您计划在问题中调用的操作，将会有所帮助。

请注意，MS Graph 同时使用delegated and application permissions，并且根据被调用的 Api，您将需要作为登录用户的应用程序登录。它有点学习曲线，我建议您参加类似this one 的会议。

【讨论】：

该进程使用委派权限，并且在几天前错误开始之前的过去 2 个月内一直在工作。我切换到客户端凭据以测试客户端密码是否过期。由于该过程使用客户端凭据而不是密码，它让我相信帐户的设置已更改
密码很可能已更改。尝试使用这些凭据登录 Azure 门户以检查密码是否仍然有效
感谢 Kalyan，我已经提取了 AD 用户属性，并且密码没有更改。我还从 Azure AD 中提取了帐户活动，当我测试使用相同的密码登录时，它显示上述应用程序失败，但 Office365、OWA 和图形资源管理器成功。
在这种情况下，您需要检查流量（日志）。看看您是否可以使用 fiddler 之类的工具来准确检查请求中发送的内容。是合适的租客吗？用户是否正在为需要和仅应用令牌的 Api 进行身份验证。
我会调查 Fiddler，谢谢！该应用程序一直工作到这个星期一，所以我正在检查所有区域，可能是管理员勾选了一个框，但是在锁定期间找到可以发现管理员的区域让我很忙。再次感谢提琴手的建议和流量日志

【解决方案2】：

问题：尝试使用以前有效的 AD 帐户对 MS Graph API 进行身份验证时出现身份验证错误。

最终假设：云身份验证和本地 AD 身份验证之间的潜在问题。

解决方案：专门为此目的创建和配置了一个新的 AzureAD 服务帐户，具有对原始服务帐户的类似访问权限，并且一切正常。

总结：问题似乎是 AzureAD 和 on-premAD 之间的链接。希望这对将来的人有所帮助

【讨论】：