Graph API Sites.Selected权限对子站点失效问题咨询

问题背景 #

我的SharePoint站点层级结构如下：

• 根站点：https://mysite.sharepoint.com
• 一级子站点（站点集）：parent（根站点的子站点）
• 二级子站点：child（parent的子站点）
• 三级子站点：grandchild（child的子站点）
  完整逻辑URL：https://mysite.sharepoint.com/sites/parent/child/grandchild

应用注册已配置Sites.Selected应用权限，尝试按步骤将应用注册关联到grandchild和child站点时，均返回400错误（错误码notSupported）；仅关联到parent站点时操作成功，但调用API访问grandchild时返回403错误（错误码accessDenied）。

疑问点 #

• 是否可将应用注册关联至二级/三级子站点（如grandchild）？
• 是否需要执行命令让子站点继承父站点的应用注册权限？
• 是否在Azure中缺少额外权限/API权限？

解答 #

1. 深层子站点的关联可行性 #

不能直接将应用注册关联到child或grandchild这类子网站，因为Sites.Selected权限的关联操作仅支持独立站点集（Site Collection）。你的child和grandchild属于parent站点集下的子网站（Subsite），并非独立站点集，所以直接执行关联操作会返回notSupported错误。

2. 子站点权限继承问题 #

不需要额外执行继承命令。当应用注册成功关联到parent站点集后，该应用的权限默认会覆盖站点集下的所有子网站（包括child和grandchild）。但如果子网站曾被手动修改过权限（比如断开了与父站点集的权限继承），则需要恢复权限继承：

• 进入目标子网站的设置 > 网站权限 > 高级权限设置
• 确认权限是否继承自父站点集，若已断开，选择继承权限恢复

3. Azure权限配置问题 #

不需要额外的Azure API权限，只要应用注册已正确配置Sites.Selected权限并完成管理员同意即可。问题核心在于混淆了站点集和子网站的层级区别，Sites.Selected的权限绑定仅针对站点集层级。

解决步骤 #

1. 保留应用注册与parent站点集的关联（已完成）；
2. 检查并恢复grandchild子网站的权限继承状态；
3. 重新调用API访问grandchild资源，验证权限是否生效。

内容的提问来源于stack exchange，提问作者imran chowdhury