调用EmployeeExperience.LearningProviders.GetAsync()时权限不足问题

在指定Azure租户中调用Microsoft Graph API获取（后续将创建）LearningProvider，使用C#编写如下代码：

var options = new OnBehalfOfCredentialOptions
{
    AuthorityHost = AzureAuthorityHosts.AzurePublicCloud
};
var onBehalfOfCredential = new OnBehalfOfCredential(tid, AppClientId, AppClientSecret, jwt, options);
var client = new GraphServiceClient(onBehalfOfCredential, scopes);
var learningProviders = await client.EmployeeExperience.LearningProviders.GetAsync();

参数说明：

• tid：登录用户的租户ID
• AppClientId/Secret：已注册应用的ID/密钥
• jwt：登录用户的JWT令牌

调用时返回权限不足错误：

Microsoft.Graph.Models.ODataErrors.MainError 
Code: forbidden 
Error: Insufficient privileges to complete the operation.

已为注册应用配置对应权限，截图如下：

1. 匹配权限类型与认证流程 #

你使用的是On-Behalf-Of（OBO）认证流程，该流程基于用户上下文运行，要求应用配置委派权限而非应用权限：

• 检查Azure AD应用权限配置：若当前配置的是EmployeeExperience.Read.All或EmployeeExperience.ReadWrite.All的应用权限，需切换为对应的委派权限。
• 注意：部分委派权限需要租户管理员提前同意，需确认已完成授权操作。

2. 验证请求范围（scopes）参数 #

调用GraphServiceClient时传入的scopes必须与配置的委派权限严格一致：

• 读取LearningProvider时，scopes应设为["https://graph.microsoft.com/EmployeeExperience.Read.All"]
• 创建LearningProvider时，scopes应设为["https://graph.microsoft.com/EmployeeExperience.ReadWrite.All"]
• OBO流程不支持应用权限的默认范围["https://graph.microsoft.com/.default"]，使用该范围会导致权限不匹配。

3. 检查JWT令牌的权限声明 #

解码用户的JWT令牌（可通过JWT解析工具查看），确认scp字段包含所需权限（如EmployeeExperience.Read.All）：

• 若scp中无对应权限，说明权限未正确授予，需重新完成权限同意流程，或检查scopes参数是否正确。

4. 确认权限授予状态 #

对于需要管理员同意的委派权限，需确保租户管理员已在Azure AD应用的「权限」页面点击「授予管理员同意」按钮，否则权限无法生效。

内容的提问来源于stack exchange，提问作者RiccardoB