Il plugin OAuth2 consente di richiedere dati da un solo endpoint (l’oauth2 user json url). Tutte le impostazioni json *** path si riferiscono a posizioni all’interno dei dati JSON, non a endpoint API separati.
Dando un’occhiata rapida alla documentazione dell’API graph.microsoft.com, sembra che l’endpoint /me non includa l’URL dell’avatar per impostazione predefinita. Anche se fosse possibile recuperare la risorsa profilePhoto, sembra che restituisca un “ID foto” anziché un URL.
Quindi, purtroppo, credo che sarebbe necessario sviluppare un plugin di autenticazione personalizzato per far funzionare questa cosa 
. Mi piacerebbe però essere smentito!