O plugin OAuth2 permite apenas a solicitação de dados de um único endpoint (a oauth2 user json url). Todas as configurações json *** path referem-se a localizações dentro dos dados JSON, não a endpoints de API separados.
Dando uma rápida olhada na documentação da API do graph.microsoft.com, parece que o endpoint /me não inclui a URL do avatar por padrão. Mesmo se você conseguisse buscar o recurso profilePhoto, parece que ele retorna um “ID da foto” em vez de uma URL.
Portanto, infelizmente, acredito que você precisaria desenvolver um plugin de autenticação personalizado para fazer isso funcionar 
. Mas adoraria ser contradito!