调用getOffice365GroupsActivityDetail API遇301重定向及S2S授权失败求助

原因排查及解决办法 #

• 令牌受众不匹配
  原https://graph.microsoft.com端点的令牌受众是https://graph.microsoft.com，但重定向后的reportsweu.office.com需要的受众是https://reports.office.com。生成令牌时必须指定正确的受众——把获取令牌请求里的scope或resource参数设为https://reports.office.com/.default。

• 重定向逻辑手动处理
  别依赖HttpClient自动重定向，直接调用最终的报告端点更靠谱：

  1. 先请求原Graph端点，拿到301重定向后的目标地址
  2. 用受众为https://reports.office.com的新令牌，直接请求这个目标地址

• 权限检查
  确认应用已经拿到Reports.Read.All权限，不管是委派还是应用权限，都得确保管理员完成了权限授予操作。

• 区域端点适配
  reportsweu.office.com是欧洲区的报告节点，如果你的租户不在欧洲，得换成对应区域的端点（比如reports.office.com）。具体看原Graph端点返回的重定向地址就行。

• 清理令牌缓存
  本地缓存的旧令牌可能因为受众不对或者过期导致校验失败，直接清掉重新拿新令牌。

参考代码（C#） #

// 第一步：获取适配reports.office.com的令牌
var tokenRequest = new HttpRequestMessage(HttpMethod.Post, "https://login.microsoftonline.com/[你的租户ID]/oauth2/v2.0/token");
tokenRequest.Content = new FormUrlEncodedContent(new Dictionary<string, string>
{
    ["grant_type"] = "client_credentials",
    ["client_id"] = "你的客户端ID",
    ["client_secret"] = "你的客户端密钥",
    ["scope"] = "https://reports.office.com/.default"
});
var tokenResponse = await httpClient.SendAsync(tokenRequest);
var tokenContent = await tokenResponse.Content.ReadFromJsonAsync<TokenResponse>();

// 第二步：直接调用重定向后的报告端点
var reportRequest = new HttpRequestMessage(HttpMethod.Get, "https://reportsweu.office.com/graph/v1.0/data/[你的租户ID]/Microsoft.O365Reporting.getOffice365GroupsActivityDetail");
reportRequest.Headers.Authorization = new AuthenticationHeaderValue("Bearer", tokenContent.AccessToken);
var reportResponse = await httpClient.SendAsync(reportRequest);
reportResponse.EnsureSuccessStatusCode();
var reportData = await reportResponse.Content.ReadAsStringAsync();

提示：把代码里的占位符换成你自己的租户ID、客户端ID和密钥。

内容的提问来源于stack exchange，提问作者whatever