未配置Log Analytics API权限，为何仍能生成有效访问令牌？

这大概率是因为你的应用注册对应的服务主体被赋予了Azure资源层级的RBAC权限——这和应用注册里的API权限是两套独立的授权体系，具体原因及验证方式如下：

• RBAC权限直接生效：如果你的服务主体在Log Analytics工作区/订阅/资源组的IAM（访问控制）中被添加了Log Analytics Reader、Contributor这类角色，那么即使没在应用注册里配置API权限，通过客户端凭据流获取的令牌也能正常访问Log Analytics API。Azure的RBAC是直接作用于资源层级的授权机制，不需要依赖应用注册的API权限配置。
• https://api.loganalytics.io/.default范围的特殊逻辑：你代码中使用的这个默认范围，在客户端凭据流中会结合服务主体的RBAC权限生成令牌的权限声明。不同于用户上下文的Delegated权限必须在应用注册中显式配置，这里只要服务主体拥有对应资源的RBAC权限，令牌就会自动包含访问该API的权限。

验证方法 #

1. 进入目标Log Analytics工作区的**访问控制（IAM）**页面，搜索你的应用注册名称，查看是否被赋予了相关RBAC角色。
2. 将获取到的访问令牌通过jwt.ms工具解码，查看roles字段中是否包含类似Microsoft.OperationalInsights/workspaces/read的权限声明。

关于文档说明的补充 #

文档中提到需要添加API权限，通常是针对用户上下文的Delegated权限场景，或是当服务主体未被赋予RBAC权限时，需要通过配置应用注册的Application类型权限来授权。而你的场景属于直接通过RBAC授权服务主体，因此无需显式配置API权限即可正常访问。

内容的提问来源于stack exchange，提问作者Berty.