<#
.SYNOPSIS
Microsoft Graph APIにClient Credentials Flowで認証し、アクセストークンを取得します。
.DESCRIPTION
標準のInvoke-RestMethodを使用し、OAuth 2.0認証エンドポイントへPOSTリクエストを送信します。
#>

function Get-GraphAPIAccessToken {
    [CmdletBinding()]
    param(
        [Parameter(Mandatory = $true)]
        [string]$TenantId,

        [Parameter(Mandatory = $true)]
        [string]$ClientId,

        [Parameter(Mandatory = $true)]
        [System.Security.SecureString]$ClientSecret
    )

    # 認証エンドポイントの定義

    $AuthUri = "https://login.microsoftonline.com/$($TenantId)/oauth2/v2.0/token"

    # SecureStringを平文に戻す（メモリ上に一時的に存在するため、厳密にはSecureStringの目的を完全に満たさないが、入力を統一するため）

    $Secret = [System.Runtime.InteropServices.Marshal]::PtrToStringBSTR(
        [System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($ClientSecret)
    )

    # リクエストボディの構築


    # ContentTypeは application/x-www-form-urlencoded が必須

    $Body = @{
        'grant_type'    = 'client_credentials'
        'client_id'     = $ClientId
        'client_secret' = $Secret
        'scope'         = 'https://graph.microsoft.com/.default'
    }

    try {
        Write-Verbose "Attempting to retrieve access token from $AuthUri"

        $TokenResponse = Invoke-RestMethod -Uri $AuthUri `
            -Method Post `
            -Body $Body `
            -ContentType 'application/x-www-form-urlencoded' `
            -ErrorAction Stop

        if ($null -ne $TokenResponse -and $TokenResponse.access_token) {
            Write-Verbose "Access Token retrieved successfully. Expires in $($TokenResponse.expires_in) seconds."
            return $TokenResponse.access_token
        } else {
            throw "Token response was invalid or access_token was missing."
        }

    }
    catch {
        Write-Error "Failed to retrieve Graph API Token: $($_.Exception.Message)"

        # 認証失敗時にはスクリプト全体を停止させる

        throw $_
    }
}

<#
.SYNOPSIS
取得したトークンを使用してMicrosoft Graph APIを呼び出します。
#>

function Invoke-GraphAPI {
    [CmdletBinding()]
    param(
        [Parameter(Mandatory = $true)]
        [string]$AccessToken,

        [Parameter(Mandatory = $true)]
        [string]$RelativeUri,

        [Parameter()]
        [string]$Method = 'GET'
    )

    $GraphUri = "https://graph.microsoft.com/v1.0/$($RelativeUri.TrimStart('/'))"

    $Headers = @{
        Authorization = "Bearer $AccessToken"
    }

    try {
        Write-Verbose "Calling Graph API: $($GraphUri)"

        $Result = Invoke-RestMethod -Uri $GraphUri `
            -Headers $Headers `
            -Method $Method `
            -ContentType 'application/json' `
            -ErrorAction Stop

        return $Result

    }
    catch {
        Write-Error "Failed to call Graph API ($($GraphUri)): $($_.Exception.Message)"

        # API呼び出し失敗はログに記録し、nullを返すか、必要に応じて再試行ロジックを実装する

        return $null
    }
}

# --- 実装例 ---

# 1. 設定値の定義 (※運用時はAzure Key VaultやSecureStringファイルからロードを推奨)

$Config = @{
    TenantId    = 'YOUR_TENANT_ID_HERE'
    ClientId    = 'YOUR_CLIENT_ID_HERE'
}

# プレーンテキストのシークレットをSecureStringに変換する（テスト用）


# 運用時には、この値自体を平文でスクリプト内に置くことは避けてください。

$PlainSecret = 'YOUR_CLIENT_SECRET_HERE'
$SecureSecret = $PlainSecret | ConvertTo-SecureString -AsPlainText -Force

try {

    # ステップ 1: アクセストークンの取得

    $Token = Get-GraphAPIAccessToken `
        -TenantId $Config.TenantId `
        -ClientId $Config.ClientId `
        -ClientSecret $SecureSecret `
        -Verbose

    if ($null -ne $Token) {

        # ステップ 2: Graph APIの呼び出し（例：組織内のユーザーリスト取得）

        $UsersResult = Invoke-GraphAPI `
            -AccessToken $Token `
            -RelativeUri 'users?$select=id,displayName,userPrincipalName' `
            -Method 'GET' `
            -Verbose

        # ステップ 3: 取得データの処理 (大規模データ対応のため、並列処理を想定)

        if ($null -ne $UsersResult -and $UsersResult.value) {
            Write-Host "Total users retrieved: $($UsersResult.value.Count)"

            # 取得したユーザーデータをローカルで並列処理する例

            $ProcessedUsers = $UsersResult.value | ForEach-Object -Parallel {

                # スクリプトブロック内は隔離されたRunspaceで実行される

                $user = $_
                [PSCustomObject]@{
                    UPN       = $user.userPrincipalName
                    DisplayName = $user.displayName
                    Initials  = $user.displayName.Substring(0, 1)
                }
            } -ThrottleLimit 5

            # $ProcessedUsers をデータベースやCSVに出力

            Write-Host "Data processing finished successfully."
        }
    }
}
catch {

    # 致命的な認証エラーが発生した場合

    Write-Error "Critical automation failure occurred. Review logs."

    # ここでメール通知や監視システムへのアラート発火処理を実装

}
finally {

    # 機密情報が格納されている変数をクリア

    [System.Runtime.InteropServices.Marshal]::ZeroFreeBSTR(
        [System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($SecureSecret)
    )
    Remove-Variable SecureSecret, PlainSecret, Token -ErrorAction SilentlyContinue
}

Measure-Command {

    # トークン取得とAPI呼び出しの関数群をここに配置


    # $Token = Get-GraphAPIAccessToken ...


    # Invoke-GraphAPI ...

} | Select-Object TotalSeconds

# Output Example:


# TotalSeconds


# ------------


# 1.2345