从ADF获取Azure AD令牌调用RBAC保护API时遇401未授权问题

你的核心问题是错误地在client_credentials授权流中混入了user-email和user-password参数，导致获取的令牌权限不符合API的RBAC要求，而Postman使用了正确的授权流程，因此能正常调用API。

具体修正步骤： #

1. 修正ADF Web活动的请求体 #

client_credentials（客户端凭据）授权流不需要用户身份相关参数，移除user-email和user-password后，修正的请求体表达式为：

@concat('tenant=tenantid&client_id=',variables('clientid'),'&client_secret=',variables('clientsecret'),'&grant_type=client_credentials&scope=https://graph.microsoft.com/.default')

2. 检查服务主体的RBAC权限 #

确认你的client_id对应的Azure AD服务主体（应用注册），是否被授予目标API所需的角色权限：

• 进入Azure门户的目标API所在资源页面，打开「访问控制（IAM）」
• 检查该服务主体是否拥有对应的contributor/reader或自定义角色权限
• 若缺失，添加对应的角色分配

3. 对比令牌权限差异 #

用jwt.ms解析ADF和Postman获取的令牌，重点核查：

• iss（颁发者）、aud（受众）是否匹配目标API要求
• roles或scp声明是否包含API所需权限：
  • client_credentials流的令牌会携带roles声明（对应服务主体权限）
  • 若Postman用用户身份流，令牌会携带scp声明（对应用户权限）

4. 若需用户上下文权限，切换授权流 #

如果目标API必须基于用户身份的RBAC权限，可改用password授权流（仅适用于内部可信场景，不推荐生产环境），调整请求体为：

@concat('tenant=tenantid&client_id=',variables('clientid'),'&client_secret=',variables('clientsecret'),'&username=useremail&password=pwd&grant_type=password&scope=https://graph.microsoft.com/.default')

同时需满足：

• Azure AD应用注册中启用「允许公共客户端流」
• 用户账号未启用MFA（MFA会导致password流失败）
• 用户本身被授予目标API的RBAC权限

内容的提问来源于stack exchange，提问作者Prasanna