Connect-PnPOnline结合凭据管理器与Entra应用ID无法正常工作求助

1. 修复AADSTS7000218错误 #

这个错误的核心是你的Entra应用注册未启用公共客户端流，而凭据管理器+应用ID的认证方式属于公共客户端身份验证范畴：

• 登录Entra管理中心，找到你的应用注册
• 进入「认证」页面，拉到「高级设置」区域
• 将「允许公共客户端流」设置为「是」，保存更改
• 同时在「平台配置」里添加公共客户端平台，重定向URI填https://login.microsoftonline.com/common/oauth2/nativeclient

2. 配置站点级权限（无需租户级权限） #

不用给应用分配租户级权限，直接在目标SharePoint站点内给应用授权：

方法1：通过PnP PowerShell配置 #

先用你原有服务账号（有站点权限）连接站点，然后执行命令添加应用权限：

# 用原有服务账号交互式连接站点
Connect-PnPOnline -Url "https://yourtenant.sharepoint.com/sites/yoursensitive" -Interactive

# 将应用添加到站点所有者组（按需替换权限组，比如Site Members）
Add-PnPUserToGroup -LoginName "i:0i.t|00000003-0000-0ff1-ce00-000000000000|app@sharepoint" -Identity "Site Owners"

注：app@sharepoint是应用的固定后缀，也可以直接搜索应用注册的名称来添加

方法2：通过站点网页配置 #

• 打开目标站点的「设置」→「站点权限」→「高级权限设置」
• 点击「授予权限」，在用户/组输入框中输入你的应用注册名称，选中后选择对应的权限级别（比如「完全控制」或「编辑」）
• 点击「共享」完成授权

3. 正确使用凭据管理器+应用ID连接 #

确保PowerShell命令参数正确，调用凭据管理器中存储的原有服务账号凭据：

# 从凭据管理器获取存储的服务账号凭据
$siteCreds = Get-PnPStoredCredential -Name "你存储的凭据名称"

# 用应用ID+凭据连接站点
Connect-PnPOnline -Url "https://yourtenant.sharepoint.com/sites/yoursensitive" -ClientId "你的Entra应用ID" -Credentials $siteCreds

关键说明 #

• 这种认证方式是用户委派模式：应用以你原有服务账号的身份访问站点，服务账号本身的站点权限会被应用继承，无需给应用额外租户级权限
• 应用注册的API权限只需添加SharePoint的委派权限（比如Sites.ReadWrite.All），如果是普通用户权限范围，可设置为「允许用户同意」，无需管理员租户级同意

内容的提问来源于stack exchange，提问作者svge