生成api.partner.microsoft.com访问令牌后调用合作伙伴中心销售价格表API遇401未授权问题排查

我来帮你拆解几个最可能导致这个问题的原因，以及对应的解决步骤：

1. 获取令牌时的Scope参数错误 #

你当前代码里用的Scope是https://api.partner.microsoft.com/，但对于客户端凭据流（Client Credential Flow），正确的Scope应该是https://api.partner.microsoft.com/.default。

原因是：应用权限是预先配置在Azure AD应用中的，使用.default后缀会让Azure AD返回包含所有已配置应用权限的令牌。如果用裸的API URI，令牌不会包含所需的销售价格表权限，直接导致API拒绝访问。

修改后的代码片段：

var result = await context.AcquireTokenAsync("https://api.partner.microsoft.com/.default", cc).ConfigureAwait(false);

2. 未确认应用权限的管理员同意状态 #

即使你在Azure AD中给应用分配了权限，应用权限必须经过全局管理员或合作伙伴中心管理员的同意才能生效。你可以按以下步骤检查：

• 登录Azure门户，找到你的AD应用
• 进入「API权限」页面，查看权限旁边是否显示“已授予[租户名]管理员同意”
• 如果没有，点击「授予管理员同意」按钮完成授权

3. 未在合作伙伴中心为应用分配角色权限 #

Partner Center API的访问不仅依赖Azure AD的权限，还需要应用在合作伙伴中心拥有对应的角色权限。你需要：

• 登录合作伙伴中心
• 进入「设置 > 用户和权限 > 应用程序」
• 找到你的Azure AD应用，点击「分配角色」
• 为应用分配销售管理员或全局管理员角色（销售管理员权限已足够访问价格表功能）

4. 验证令牌内容是否符合要求 #

你可以用jwt.ms解码生成的令牌，检查两个关键字段：

• aud：必须等于https://api.partner.microsoft.com，确保令牌的受众是目标API
• roles：应该包含类似SalesPricesheets.Read.All的权限角色，确认所需权限已包含在令牌中

完成以上步骤后，再调用目标API，应该就能解决401未授权的问题了。

内容的提问来源于stack exchange，提问作者Roushan