调用D365 CRM API遇403禁止，此前用ServiceClient获AADSTS7000218错误

开发者阿泽

2026-6-18

问题：调用D365 CRM API返回403 Forbidden，使用ServiceClient返回AADSTS7000218

尝试连接Azure中注册的应用，通过HttpClient从D365 CRM获取数据时，发送GET请求查询客户信息返回StatusCode 403: Forbidden；此前使用Microsoft.PowerPlatform.Dataverse.Client.ServiceClient时，持续返回响应码AADSTS7000218，两次使用的Client ID和Client Secret一致。

相关代码如下：

string authority = $"https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/token";

var app = ConfidentialClientApplicationBuilder.Create(clientId)
    .WithClientSecret(clientSecret)
    .WithAuthority(new Uri(authority))
    .Build();

string[] scopes = new string[] { $"{crmUrl}/.default" };
var authResult = await app.AcquireTokenForClient(scopes).ExecuteAsync();
string accessToken = authResult.AccessToken;

HttpClient httpClient = new HttpClient();
httpClient.BaseAddress = new Uri($"{crmUrl}");
httpClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);
httpClient.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));

string query = $"/api/data/v9.0/contacts?$filter=mobilephone eq '999999999'";
HttpRequestMessage request = new HttpRequestMessage(HttpMethod.Get, httpClient.BaseAddress.ToString() + query);

var response = await httpClient.SendAsync(request);

Azure应用已启用默认客户端类型，Client Secret为两周前创建，有效期至2026年。

可能的问题原因

D365 CRM权限未分配：Azure应用注册对应的服务主体没有在D365中获得数据访问权限。需进入D365的高级设置>安全>安全角色，给该应用用户分配包含联系人读取权限的安全角色。
Scope配置错误：检查crmUrl是否为D365的根URL（例如https://yourorg.crm.dynamics.com），不能携带任何后缀路径。{crmUrl}/.default格式必须严格匹配，否则生成的令牌不具备访问D365 API的权限。
Client Secret或租户不匹配：AADSTS7000218错误本质是客户端凭据无效，可能是Client Secret输入时存在空格、特殊字符转义问题，或者应用注册的租户ID与D365所在租户不一致。
请求URL拼接错误：HttpClient.BaseAddress已设置为crmUrl，构造请求时无需再拼接BaseAddress字符串，否则会导致URL重复（如https://xxx.crm.dynamics.comhttps://xxx.crm.dynamics.com/api/...），引发权限或路径错误。修改请求构造为：
```
HttpRequestMessage request = new HttpRequestMessage(HttpMethod.Get, query);
```
令牌权限不足：解析获取到的AccessToken，查看roles或scp声明，确认是否包含D365的读取权限。若没有，需在Azure AD应用注册的API权限中添加D365的应用权限，并完成管理员同意操作。

内容的提问来源于stack exchange，提问作者user27480649