通过Microsoft Graph API访问OneDrive/SharePoint的多租户权限问题

针对你描述的跨租户访问Azure AD资源（OneDrive/SharePoint）的问题，结合Azure AD应用权限机制，以下是可能遗漏的关键环节：

1. 我方应用XX的多租户配置未启用 #

如果XX是单租户应用注册（仅允许自身租户内的账户访问），即使YY租户管理员完成权限同意，XX也无法生成有效访问YY租户资源的令牌。必须在XX的Azure AD应用注册中，将支持的账户类型设置为「任何组织目录中的账户」（多租户模式），确保XX能被其他租户的Azure AD识别并授权。

2. 令牌获取参数错误 #

生成访问令牌时，需确认以下参数是否正确：

• tenant 参数必须指定为YY租户的ID或域名，而非XX自身的租户ID；
• 应用权限的 scope 需设置为 https://graph.microsoft.com/.default，确保令牌包含已同意的租户级应用权限；
• 确认使用的是XX的客户端ID、密钥，且这些凭据在XX的应用注册中处于有效状态（未过期、未被吊销）。

3. 租户级权限同意与资源特定权限的衔接缺失 #

你提到的两个步骤（管理员同意权限、调用/permissions端点授予资源权限）需确保逻辑连贯：

• 首先，YY租户管理员必须为XX应用授予租户级的应用权限（如Sites.FullControl.All或Files.ReadWrite.All），且完成的是「管理员同意」（而非普通用户同意）——这类权限需要管理员审批才能生效；
• 其次，调用Graph API的/permissions端点时，需确保授予权限的对象是XX应用在YY租户中的服务主体ID（而非XX的应用ID）。当XX被YY租户同意后，会在YY租户内自动创建一个服务主体，需通过该服务主体的ID来绑定特定OneDrive/SharePoint资源的权限。

4. 混淆应用注册与服务主体的概念 #

客户被要求注册两个应用的问题，大概率是混淆了「应用注册」和「服务主体」的区别：

• 我方XX作为多租户应用，只需在自身租户完成一次注册；
• 当YY租户管理员同意XX的权限请求后，YY租户内会自动生成XX的服务主体（无需额外注册应用）；
• 后续针对资源的权限授予，只需操作该服务主体即可，无需在YY租户重复注册新应用。

5. 权限同意的有效性未验证 #

完成管理员同意后，需在YY租户的Azure AD中验证XX的服务主体是否已获得对应的应用权限：

• 进入YY租户的Azure AD → 企业应用 → 找到XX的服务主体 → 查看「权限」选项卡，确认已授予的权限状态为「已同意」。

内容的提问来源于stack exchange，提问作者Pooja Parmar