Partner Center API自动授予客户租户权限返回403问题咨询

端点变更说明 #

/v1/customers/{{CUSTOMER_TENANT_ID}}/applicationconsents属于Partner Center API的旧版端点，目前已被官方弃用。微软近期更新了GDAP场景下的权限管控逻辑，即使合作伙伴与客户存在有效活跃的GDAP关系且持有全局管理员角色，直接调用该端点也会返回403错误——核心原因是为了强化合规性，禁止合作伙伴未经客户明确授权的自动权限授予操作。

替代方案 #

方案1：通过GDAP身份调用Microsoft Graph API完成授权 #

利用GDAP分配的全局管理员权限，以客户租户身份直接调用Microsoft Graph API进行权限授予，这是当前合规的自动授权方式：

• 步骤1：通过GDAP服务主体或用户身份，获取客户租户的Microsoft Graph访问令牌（需包含Directory.ReadWrite.All或对应权限授予所需的范围）
• 步骤2：根据权限类型调用对应Graph端点：
  • 授予委派权限：调用POST /oauth2PermissionGrants
  • 授予应用权限：调用POST /applicationPermissionGrants
• 示例PowerShell代码（使用Microsoft Graph PowerShell模块）：

  # 连接到目标客户租户
  Connect-MgGraph -TenantId {{CUSTOMER_TENANT_ID}} -Scopes "Directory.ReadWrite.All"
  # 为合作伙伴应用授予委派权限
  New-MgOauth2PermissionGrant -ClientId "{{PARTNER_APP_CLIENT_ID}}" `
    -ResourceId "{{TARGET_RESOURCE_APP_ID}}" `
    -Scope "User.Read.All Group.ReadWrite.All"
  

方案2：引导客户完成管理员手动同意 #

如果需要客户明确确认权限授予，可以生成管理员同意链接，让客户租户的全局管理员手动完成授权：

• 同意链接格式：

  https://login.microsoftonline.com/{{CUSTOMER_TENANT_ID}}/adminconsent?client_id={{PARTNER_APP_CLIENT_ID}}&scope={{REQUIRED_PERMISSION_SCOPES}}&redirect_uri={{YOUR_APP_REDIRECT_URI}}
  

• 该方式完全符合GDAP合规要求，避免自动操作带来的权限风险。

额外验证要点 #

• 确认GDAP关系的权限范围已包含Directory.ReadWrite.All或对应Graph权限
• 检查合作伙伴应用的服务主体是否已在客户租户中创建，且状态正常
• 验证调用身份的访问令牌中是否包含正确的客户租户ID和所需权限范围

内容的提问来源于stack exchange，提问作者Oleksandr Klunnyi