使用MS Graph重分配用户许可证的PowerShell脚本遇401认证错误

1. 核对证书配置细节 #

• 检查本地证书的指纹与Azure AD应用注册中上传的指纹完全一致，注意不要有多余空格或大小写错误
• 确认证书包含私钥（在证书管理器中查看需显示"您有一个对应的私钥"），且当前运行脚本的用户对该私钥拥有读取权限
• 验证证书未过期，自签名证书需确保生成时参数配置正确

2. 修正应用权限配置 #

• 确认授予的是应用权限而非委托权限（证书认证属于应用身份，无法使用委托权限）
• 检查权限是否完成管理员同意：在Azure AD应用注册的"API权限"页面，确认权限状态显示"已授予[租户名称]管理员同意"
• 精简权限至最小必要范围：当前场景仅需LicenseAssignment.ReadWrite.All和User.Read.All，可先保留这两个权限测试，排除冗余权限干扰

3. 调整Connect-MgGraph命令参数 #

• 证书认证必须指定完整参数，避免遗漏：

  Connect-MgGraph -ClientId "你的应用ID" -TenantId "你的租户ID" -CertificateThumbprint "证书指纹"
  

• 不要添加-Scopes参数，应用权限为预先授予，连接时无需指定作用域

4. 排查执行环境与模块问题 #

• 更新至最新稳定版Microsoft Graph模块：执行Update-Module Microsoft.Graph -Force后，重启PowerShell ISE再测试
• 以管理员身份运行PowerShell ISE，避免因权限不足无法读取证书私钥
• 尝试在普通PowerShell控制台（而非ISE）中运行脚本，排除ISE环境的特殊限制

5. 启用调试日志定位问题 #

• 添加-Debug参数查看认证过程细节：

  Connect-MgGraph -ClientId "你的应用ID" -TenantId "你的租户ID" -CertificateThumbprint "证书指纹" -Debug
  

• 从调试输出中查找具体错误提示，比如证书验证失败、租户ID不匹配等信息

6. 验证基础访问权限 #

• 先运行简单测试命令确认应用能正常调用MS Graph：

  Get-MgUser -Top 1
  

  如果该命令也返回401，说明认证本身存在问题；若能正常返回用户，再检查许可证相关命令的参数是否正确

内容的提问来源于stack exchange，提问作者MadMartigan7908