通过API调用获取EntraID访问令牌时遇400错误求助

修正请求端点与参数规范 #

• 替换common租户标识符为具体租户ID（租户GUID或域名），客户端凭证流必须绑定特定租户，不能用通用的common。示例URL：https://login.microsoftonline.com/your-tenant-id/oauth2/token
• 优先使用v2.0端点：https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/token，同时将请求体中的resource参数替换为scope，值设为https://management.azure.com/.default（.default后缀表示使用应用已配置的所有应用权限）

调整请求体格式与头信息 #

• 客户端凭证流的令牌端点默认要求表单编码格式，而非JSON。在Copilot Studio的HTTP动作中，设置请求头Content-Type: application/x-www-form-urlencoded，并将请求体以key=value拼接的形式传递，示例：

  client_id=4052b5a7-7355-40f0-a613-fc0dc88d2249&client_secret=xxxxxxxx&grant_type=client_credentials&scope=https://management.azure.com/.default
  

• 若坚持使用JSON格式，必须确保请求头Content-Type: application/json，但部分旧版端点可能不支持，优先推荐表单编码。

验证Entra应用配置 #

• 确认应用已添加Azure管理服务的应用权限（而非委派权限），并完成管理员同意。客户端凭证流仅支持应用权限，无管理员同意会导致权限不足，触发400或403错误。
• 检查应用类型为机密客户端（默认注册的Web应用即为机密客户端，不要修改为公共客户端），确保客户端密码（client_secret）未过期、未被撤销，且正确复制无多余空格。
• 确认应用的权限范围正确：添加权限时选择“Azure Service Management”下的应用权限（如Application.Read.All等），而非委派权限。

排查Copilot Studio配置细节 #

• 若client_secret包含&、=等特殊字符，需进行URL编码（如&转%26、=转%3D），避免参数解析错误。
• 启用HTTP动作的日志功能，查看实际发送的请求内容（包括头信息、参数），对比官方要求排查差异。
• 确认动态变量（若使用）无空值或格式错误，比如client_id、client_secret是否正确引用了配置变量。

内容的提问来源于stack exchange，提问作者user25086925