El plugin OAuth2 solo permite solicitar datos desde un único punto final (la oauth2 user json url). Todas las configuraciones de json *** path se refieren a ubicaciones dentro de los datos JSON, no a puntos finales de API separados.
Al echar un vistazo rápido a la documentación de la API de graph.microsoft.com, parece que el punto final /me no incluye la URL del avatar de forma predeterminada. Incluso si pudieras obtener el recurso profilePhoto, parece que devuelve un “ID de foto” en lugar de una URL.
Por lo tanto, lamentablemente creo que necesitarías desarrollar un plugin de autenticación personalizado para que esto funcione 
. ¡Me encantaría que me demostraran lo contrario!