调用MS Graph API为Microsoft 365组添加Team时遇403权限错误求助

问题复现 #

调用PUT https://graph.microsoft.com/v1.0/groups/{groupId}/team为Microsoft 365组添加Team时，偶尔收到错误：

403 - Forbidden - Failed to retrieve appliable Sku categories for the user when trying to add team to Microsoft 365 group

该问题近期出现（此前代码正常运行数年），具有间歇性：部分组操作成功，部分失败；同一操作换身份可能成功，也可能所有身份都失败。调用身份为组所有者，已获全局管理员同意的Group.ReadWrite.All和Directory.ReadWrite.All权限，服务主体和普通用户身份均存在此问题。

排查与解决建议 #

• 校验目标组的许可证关联：创建Team时Graph会校验组对应的SKU可用性，若组未绑定包含Teams的许可证SKU，或组内用户的许可证存在过期、分配失败等异常，会触发该403。可在Microsoft 365 admin中心检查组的许可证分配状态，确保关联的SKU包含Teams服务。
• 补充针对性权限：除现有权限外，尝试为服务主体/用户添加Teamwork.CreateTeam权限（应用权限或委托权限，需管理员同意）。该权限专门用于Teams创建操作，可能适配微软最新的权限校验逻辑。
• 检查组属性与状态：确认目标组是Unified类型（groupTypes包含"Unified"），且resourceProvisioningOptions未包含"Team"（避免重复创建）。同时排查组是否处于异常状态，比如删除待处理、同步延迟等。
• 添加重试机制：微软近期可能调整了SKU数据的同步逻辑，存在短暂的检索延迟。可在调用失败后添加指数退避重试，避开同步窗口。重试前可先调用GET /subscribedSkus确认租户SKU状态正常。
• 检查租户服务健康：登录Microsoft 365 admin中心查看服务健康面板，确认Teams、Azure AD等相关服务无故障通知，这类全局服务问题可能导致间歇性的SKU校验失败。

内容的提问来源于stack exchange，提问作者Zrethreal