Плагин OAuth2 позволяет запрашивать данные только с одной конечной точки (URL-адрес JSON-данных пользователя OAuth2). Все настройки json *** path относятся к местоположениям внутри JSON-данных, а не к отдельным конечным точкам API.
Краткий обзор документации по API graph.microsoft.com показывает, что конечная точка /me по умолчанию не включает URL-адрес аватара. Даже если вы сможете получить ресурс profilePhoto, похоже, он возвращает «идентификатор фотографии», а не URL-адрес.
К сожалению, думаю, вам потребуется разработать собственный плагин аутентификации, чтобы это работало 
. Но я буду рад, если ошибаюсь!