Azure Graph API更新全局管理员用户属性的权限问题咨询

问题翻译与整理 #

我拥有Azure应用程序及密钥，需要更新用户属性，其中部分用户是全局管理员。当前应用权限如图所示。针对全局管理员，该Azure应用可以更新职位头衔，但无法更新手机号，报错Insufficient privileges to complete the operation；普通用户则可同时更新职位头衔和手机号。每次登录都会获取新令牌，令牌生成代码如下：

token = String.IsNullOrEmpty(token) ? getToken(l2.UserName, l2.Password, "https://login.microsoft.com/" + l2.Tenant_ID + "/oauth2/token", l2.URL_Graph) : token;

令牌通过传入Azure应用ID/密钥生成。请问是否缺少某些委派/应用权限？

问题分析与解决方案 #

首先明确：你当前采用的是应用权限模式（通过应用ID/密钥获取令牌），而非模拟用户操作的委派权限模式。

针对全局管理员这类高权限用户，Azure AD对其敏感属性（如手机号）的修改有更严格的权限控制：

• 职位头衔属于普通用户属性，仅需基础的用户读写权限即可操作；但手机号属于敏感目录属性，默认要求更高权限才能修改全局管理员的这类属性。

可能的权限缺失点：

1. 缺少Directory.ReadWrite.All应用权限
   这是修改全局管理员敏感属性的核心权限。User.ReadWrite.All应用权限仅能操作普通用户的全量属性，但对全局管理员的敏感属性（手机号等）不生效，必须通过目录级别的读写权限才能突破限制。需要确保该权限已添加到Azure应用，并获得租户管理员的同意。

2. 验证令牌获取逻辑的正确性
   检查getToken方法的实现，确认是否真的使用了客户端凭证流（Client Credentials Flow）——即通过应用ID和密钥获取令牌，而非误用了用户名密码的委派流。如果是委派流，权限会受限于当前操作用户的权限，无法修改全局管理员的敏感属性。

内容的提问来源于stack exchange，提问作者overflowed