Azure应用注册权限不足：Logic App拉取O365组失败求助

我们通过服务账户配置Azure应用注册，已为该账户配置管理员已同意的API权限，且服务账户拥有应用注册所有者角色、管理员角色、订阅所有者权限，仅有的条件访问策略为晚8点后禁止登录（认为不影响本次操作）。但运行Logic App拉取O365组时，仍抛出权限错误：

"error": {
    "code": "Authorization_RequestDenied",
    "message": "Insufficient privileges to complete the operation."
}

以下是具体排查步骤：

• 确认API权限类型与生效范围
  检查授予的Microsoft Graph API权限是否为应用权限（而非委派权限）——Logic App以服务账户身份运行，必须使用应用级权限（如Group.Read.All或Group.ReadWrite.All的应用权限），委派权限仅适用于用户交互式登录场景，服务账户无法使用。同时要确保权限已完成全租户范围的管理员同意，而非单个用户同意。

• 验证服务主体的有效权限
  用PowerShell查询服务主体的已授权应用权限，确认权限已正确生效：

  Install-Module AzureAD
  Import-Module AzureAD
  $sp = Get-AzureADServicePrincipal -Filter "DisplayName eq '你的应用注册名称'"
  Get-AzureADServiceAppRoleAssignment -ObjectId $sp.ObjectId
  

  检查返回结果中是否包含目标O365组相关的应用权限，且状态为启用。

• 核对Logic App的身份验证配置
  确认Logic App调用Microsoft Graph的连接器使用的是服务主体认证（配置客户端ID、客户端密钥/证书），而非用户OAuth流。同时验证租户ID、客户端ID、密钥是否正确，密钥是否未过期。

• 排除条件访问策略的隐性影响
  即使策略是晚8点后禁登，也要确认策略是否排除了服务主体。若未排除，可能当前运行时间触发了策略限制（比如误判时间或策略有其他隐性规则）。可以临时禁用该策略，测试Logic App是否正常运行。

• 检查租户一致性
  确认服务账户的订阅权限、应用注册、Logic App三者属于同一个Azure AD租户，跨租户场景下权限配置无法正常生效。

• 排查组本身的权限限制
  部分O365组可能设置了敏感度标签或专属权限限制，即使服务账户有全局权限也无法访问。可以尝试拉取普通测试组，验证是否是特定组的问题。

内容的提问来源于stack exchange，提问作者chipvalentine