使用API创建MS Dev Box时遇令牌认证401问题求助

以下是针对该场景的具体排查方向：

• 核对令牌核心字段
  把CLI获取的令牌和React/浏览器获取的令牌用本地JWT解码方式对比：

  • 确认aud（受众）字段是否严格等于https://devcenter.azure.com，如果React请求的scope未指定完整资源路径，可能会导致受众变成应用自身的client ID，直接触发401。
  • 检查scp字段是否包含user_impersonation，同时确认iss（颁发者）和CLI令牌一致，不同Azure环境（公有云/政务云）的颁发者域名不同，不匹配会导致令牌无效。

• 验证应用权限配置

  • 确保AAD应用注册中，已经添加了Dev Center的user_impersonation权限，并且完成了管理员同意（如果是多租户应用或需要访问租户级资源）。个人账号有权限不代表应用本身被授权访问该API。
  • React应用的OAuth请求里，scope参数必须写全：https://devcenter.azure.com/user_impersonation，不能只写user_impersonation，否则AAD会默认颁发针对应用自身的令牌，而非Dev Center的。

• 排查隐式流配置细节

  • 检查AAD应用注册的“认证”页面：是否开启了隐式流所需的“访问令牌”选项，重定向URI是否和React应用的实际地址完全一致（包括协议、域名、端口，比如http://localhost:3000/callback）。
  • 确认React中身份验证库（比如msal-react）的authority配置正确，应该是https://login.microsoftonline.com/{你的租户ID}，如果用了common端点，可能会导致颁发的令牌不被Dev Center的API认可。

• 检查请求参数和令牌携带方式

  • 确认PUT请求中的userId是用户在AAD中的对象ID，不是邮箱或显示名称，Dev Center API对这个参数的要求非常严格，传错会直接导致权限验证失败。
  • 检查API请求的Authorization头格式是否正确：Bearer {令牌内容}，注意Bearer后面有一个空格，没有多余的字符或换行。

• 核对Dev Center资源的IAM权限
  除了AAD的权限，你还需要在Dev Center的具体项目中被分配Dev Box User或更高的角色（比如Dev Box Administrator），可以在Azure门户的Dev Center项目IAM页面查看角色分配情况，缺少项目级角色会导致令牌有效但无法访问具体资源。

• 关于令牌“加密”的说明
  CLI显示令牌加密只是CLI的存储保护机制，实际JWT令牌本身是Base64编码的明文结构，你可以把CLI获取的令牌复制出来，用本地的Base64解码工具查看payload内容，和React获取的令牌做对比。

内容的提问来源于stack exchange，提问作者Andrej Müller