Azure API Management OAuth2设置无法添加Resource参数问题咨询

问题背景 #

我在API Management（APIM）中管理多个Dataverse API，已完成应用注册并能用其Client ID生成令牌，Postman测试正常，但在APIM中配置OAuth2并绑定API后，虽然能生成令牌，但调用API时返回未授权响应。推测原因是生成令牌时未添加Dataverse URL作为resource参数，但新版APIM的OAuth2设置里找不到旧版的Resource参数入口（新版界面无直接显示的「Resource」输入框，旧版界面有明确的「Resource」参数输入项）。

问题本质 #

Postman测试正常是因为手动指定了resource参数（对应Dataverse实例URL），而新版APIM默认的OAuth2配置可能适配了Azure AD v2端点规范，或者未配置该参数，导致生成的令牌受众（aud）不是Dataverse的URL，因此被Dataverse拒绝授权。

解决方法 #

新版APIM并没有移除resource参数，而是做了端点适配，以下两种方式可以添加该参数：

• 方式1：针对Azure AD v1端点配置
  在新版APIM的OAuth2服务器配置页面，找到**「额外参数」**（通常在「高级设置」或「令牌端点配置」区域），手动添加参数：
  • 参数名：resource
  • 参数值：你的Dataverse实例URL（例如https://your-org.crm.dynamics.com）
• 方式2：适配Azure AD v2端点
  如果使用v2端点，不需要resource参数，而是将Dataverse URL加上.default作为scope：
  在OAuth2配置的「范围（Scopes）」中添加https://your-org.crm.dynamics.com/.default

验证配置 #

生成令牌后，用jwt.ms解析令牌，检查aud字段是否等于你的Dataverse实例URL，确认参数已生效。

界面变化说明 #

新版APIM的OAuth2界面优化了参数展示，resource是Azure AD v1端点的专属参数，因此只有在选择v1端点或手动添加额外参数时才会出现，这不是Bug，而是适配了Azure AD不同版本端点的规范。

内容的提问来源于stack exchange，提问作者Theodorus Agum Gumilang