使用CloudPC.ReadAll权限调用Microsoft Graph告警API遇403错误求助

1. 确认应用权限已获得管理员同意 #

你使用的是客户端凭证授权流（client_credentials），该流仅生效应用权限，配置的委托权限在此场景下不起作用。请完成以下检查：

• 在Azure AD应用注册中，已添加CloudPC.ReadAll应用权限
• 全局管理员或Cloud PC管理员已对该权限授予管理员同意（仅添加权限但未点击同意按钮会导致权限未生效）

2. 验证访问令牌的权限范围 #

将获取到的accessToken复制到JWT解析工具（如jwt.ms，仅在本地解析令牌，无需上传至第三方），检查roles声明中是否包含CloudPC.ReadAll：

• 如果roles中无该权限，说明权限未成功授予，需重新执行管理员同意步骤
• 如果存在该权限，继续排查其他配置问题

3. 更新身份验证端点与参数 #

建议使用Microsoft Graph推荐的v2.0身份验证端点，替换原有的令牌请求逻辑，避免旧端点的兼容性问题：

# 替换原tokenEndpoint和body参数
$tokenEndpoint = "$authority/oauth2/v2.0/token"
$body = @{
    client_id     = $clientId
    client_secret = $clientSecret
    scope         = "https://graph.microsoft.com/.default"
    grant_type    = "client_credentials"
}

4. 确认Cloud PC告警配置完整性 #

确保Azure门户中：

• Cloud PC告警功能已在Microsoft Intune admin center > 设备 > Cloud PC > 警报中完全开启
• 已创建至少一条告警规则（无规则时API会返回空结果，而非403错误）

修正后的完整PowerShell示例 #

# 定义所需变量
$clientId = ''
$clientSecret = ''
$tenantId = ''
$authority = "https://login.microsoftonline.com/$($tenantId)"
$apiVersion = "beta"
$objs= @()

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12

# 使用v2.0端点获取访问令牌
$tokenEndpoint = "$authority/oauth2/v2.0/token"
$body = @{
    client_id     = $clientId
    client_secret = $clientSecret
    scope         = "https://graph.microsoft.com/.default"
    grant_type    = "client_credentials"
}

$tokenResponse = Invoke-RestMethod -Uri $tokenEndpoint -Method POST -Body $body

# 提取访问令牌
$accessToken = $tokenResponse.access_token

# 定义API端点
$apiEndpoint="https://graph.microsoft.com/$($apiVersion)/deviceManagement/monitoring/alertRules"

$headers = @{ Authorization = "Bearer $($accessToken)" }

try {
    $apiResponse = Invoke-RestMethod -Uri $apiEndpoint -Method Get -Headers $headers
    $outputs = $apiResponse.Value | Select displayName,severity,description,alertRuleTemplate
    foreach($output in $outputs)
    {
        $obj = New-Object PSObject -Property ([ordered]@{                    
            displayName=$output.displayName                                                    
            severity=$output.severity
            description=$output.description
            alertRuleTemplate = $output.alertRuleTemplate                                                    
        })
        $objs += $obj
    }
    $objs
} catch {
    Write-Host "错误信息: $($_.Exception.Message)"
    # 可选：输出详细错误响应
    Write-Host "响应内容: $($_.ErrorDetails.Message)"
}

内容的提问来源于stack exchange，提问作者Venkata Praveen