Runbook中用托管身份应用SharePoint站点设计遇401未授权错误

你用PowerShell 5.1搭配PnP.PowerShell 1.12的Runbook，通过托管身份创建无Microsoft 365组的SharePoint Online团队站点，创建站点、连接站点、添加文件夹这些步骤都正常，但执行Add-PnPSiteDesignTask时一直报401未授权错误。核心问题是应用站点设计任务属于租户级操作，你的托管身份目前只有站点级权限，缺了租户级的必要权限。

1. Azure AD应用权限配置 #

托管身份本质是Azure AD应用，得给它加以下应用权限（注意是「应用权限」，不是委派权限）：

• SharePoint > Sites.FullControl.All：全量控制所有站点，能覆盖站点设计任务的权限需求
• 要是想精细授权，也可以选SharePoint > Sites.Manage.All + Site Designs.ReadWrite.All，前者允许管理所有站点，后者支持读写站点设计

操作步骤：

• 进Azure门户 → 找到对应托管身份（或企业应用）→ 「权限」→ 「添加权限」→ 选SharePoint → 「应用权限」→ 勾选对应权限 → 点击「授予管理员同意」

2. 直接添加SharePoint管理员角色（快速验证用） #

如果想快速排查，可以把托管身份加到SharePoint管理员角色里：

• 进Microsoft 365 admin中心 → 「角色」→ 「SharePoint管理员」→ 「添加成员」→ 搜索托管身份名称并添加

3. 代码调整建议 #

你当前Connect-PnPOnline是连到具体站点，但Add-PnPSiteDesignTask需要租户级上下文，建议改成租户级连接：

# 替换原站点连接，改为连接租户管理员站点
Connect-PnPOnline -Url "https://[tenant]-admin.sharepoint.com" -ManagedIdentity

然后执行站点设计任务时，明确指定目标站点URL：

Add-PnPSiteDesignTask -SiteDesignId eb8c67ca-9342-4821-b0ec-a173cc6481e6 -WebUrl $siteUrl

（原代码没指定WebUrl，虽然默认是当前连接的站点，但租户级连接后明确指定更稳妥）

• 确保Azure AD权限已经完成管理员同意，没同意的话权限不会生效
• 权限生效需要等15-30分钟，别刚配置完就急着测
• 额外确认下托管身份是不是在目标站点的站点管理员组里（虽然前面能创建文件夹，但多一层验证没坏处）

内容的提问来源于stack exchange，提问作者Matthias