Azure Data Explorer（Kusto）查询：Azure AD应用调用遇未授权错误

• 检查AAD应用的ADX权限分配
  确认在ADX目标数据库中，已将该AAD应用添加为Viewer及以上角色（仅查询需求的话Viewer权限足够）。权限配置完成后需等待1-5分钟生效，避免立即测试导致误判。

• 验证连接字符串参数准确性

  • 集群地址格式必须正确：https://<集群名称>.<区域>.kusto.windows.net/<数据库名称>
  • 核对<ApplicationId>（AAD应用客户端ID）、<Application Secret>（客户端密码）、<TenantID>（租户ID），确保无拼写错误、多余空格或转义问题。

• 确认应用密钥有效性
  登录Azure AD应用注册页面，检查该应用的客户端密码是否过期或被禁用。若存在问题，重新生成新密码并替换代码中的密钥值。

• 排查ADX防火墙规则
  如果ADX集群设置了防火墙，需确保Web应用的运行IP在允许列表内；若Web应用部署在Azure，可开启“允许Azure服务访问集群”的选项。

• 手动测试认证令牌获取
  用以下命令（替换占位符）调用Azure AD令牌端点，验证是否能获取有效访问令牌：

  curl -X POST https://login.microsoftonline.com/<TenantID>/oauth2/v2.0/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "client_id=<ApplicationId>&scope=https://<集群名称>.<区域>.kusto.windows.net/.default&client_secret=<Application Secret>&grant_type=client_credentials"
  

  • 若令牌获取失败，根据返回的错误信息定位问题（如密钥无效、权限缺失）；若获取成功，可携带该令牌直接调用ADX查询API，确认是否是代码层面的问题。

• 检查查询的表权限
  确认查询的AdtPropertyEvents表未设置额外的行级/列级权限限制，或者该AAD应用已被授权访问该表。

内容的提问来源于stack exchange，提问作者ValeriaN