求助：Microsoft Graph API在GCC High环境无法更新用户birthday和hireDate

问题背景 #

• 运行环境：GCC High
• 业务场景：Spring Batch定时任务调用MS Graph PATCH API，更新SharePoint用户资料的hireDate和birthday属性
• 调用API：https://graph.microsoft.us/v1.0/users/{userPrincipalName}
• 请求体示例：

{
    "hireDate": "2024-07-01T00:00:00Z",
    "birthday": "1982-09-22T00:00:00Z"
}

• 错误响应：

{
    "error": {
        "code": "-1, Microsoft.Office.Server.Directory.DirectoryObjectUnauthorizedAccessException",
        "message": "Attempted to perform an unauthorized operation.",
        "innerError": {
            "date": "2024-08-21T16:15:24",
            "request-id": "8997d5a6-14d6-4d37-94d3-a05470210bfa",
            "client-request-id": "8997d5a6-14d6-4d37-94d3-a05470210bfa"
        }
    }
}

• 异常状态：2024年8月7日前可正常执行，之后突然返回未授权；已为注册应用配置全部API权限，且联系过微软社区。

可能原因及排查方向 #

1. API权限被撤销或授予状态异常 #

尽管已配置全部API权限，需重点确认：

• 检查Azure AD应用注册中，权限是否仍处于已授予管理员同意状态，排除管理员误操作撤销权限的可能。
• GCC High环境权限审核更严格，确认权限授予是否为永久有效，而非临时授权或已过期。

2. GCC High合规策略调整 #

GCC High属美国政府合规环境，微软可能在8月7日后更新了权限规则：

• 核实birthday这类敏感个人属性的更新是否新增了合规要求，比如需要额外的政府级权限或审批流程。
• 查询微软GCC High服务更新公告，确认是否有用户属性修改权限的相关变更。

3. 访问令牌有效性或权限范围问题 #

• 解析Spring Batch获取的访问令牌，检查scp或roles声明是否包含User.ReadWrite.All或Directory.ReadWrite.All等必要权限。
• 确认令牌获取端点为GCC High专属的https://login.microsoftonline.us/，避免使用公共云端点导致权限不匹配。

4. 用户目录对象级权限限制 #

DirectoryObjectUnauthorizedAccessException指向目录对象层面的权限问题：

• 检查目标用户所在OU或安全组是否有特殊权限设置，限制了应用对其属性的修改。
• 确认应用服务主体是否被添加到用户管理员或目录写入者等Azure AD角色中，仅API权限可能无法覆盖目录级限制。

5. API端点或请求格式隐性变更 #

• 验证请求头是否正确：Authorization: Bearer {token}、Content-Type: application/json，排除请求格式错误。
• 确认批量处理中所有用户的日期格式是否符合要求，避免个别异常数据触发权限校验失败。

6. 微软服务端配置或故障 #

• 查看Azure AD审核日志，获取应用调用API失败的详细记录，定位具体权限缺失原因。
• 向微软支持提交工单时，附带request-id和client-request-id，排查服务端是否针对该应用或用户有特殊限制。

内容的提问来源于stack exchange，提问作者user220982