Graph API Beta版ediscovery/cases端点调用遇未授权错误求助

核心排查要点 #

• 必须完成管理员级权限同意
  eDiscovery.ReadWrite.All属于需要全局管理员或合规管理员授予管理员同意的权限，用户个人同意无效。Graph Explorer显示“需要管理员同意”为“是”，说明管理员尚未完成该操作：

  • 管理员登录Azure AD后台，找到对应应用（Graph Explorer对应“Microsoft Graph Explorer”，Postman使用的是你自行创建的Azure AD应用）；
  • 进入“权限”页面，点击“授予管理员同意”并确认，之后刷新权限重新获取访问令牌。

• 需配置Purview合规角色
  仅拥有API权限不足以访问该端点，还需在Microsoft Purview合规门户为你的用户/服务主体分配对应eDiscovery角色：

  • 登录compliance.microsoft.com，进入“权限”->“电子数据展示”；
  • 将eDiscovery Manager或eDiscovery Administrator角色添加至你的用户/服务主体（服务主体需先添加至合规门户的用户列表）。

• 确认权限类型与认证流匹配

  • Graph Explorer使用的是委托权限，需确保授予的是委托权限的管理员同意；
  • Postman采用客户端凭证流（服务主体）时，需给应用授予应用权限类型的eDiscovery.ReadWrite.All，而非委托权限。

• 验证访问令牌有效性
  获取令牌后用jwt.ms解析，检查：

  • 委托权限场景下，scp字段包含eDiscovery.ReadWrite.All；
  • 应用权限场景下，roles字段包含eDiscovery.ReadWrite.All；
  • 租户ID（tid）与目标租户一致，且令牌未过期。

• 检查租户功能启用状态
  该Beta端点仅对启用了Microsoft Purview电子数据展示高级版的租户开放，基础版电子数据展示无法访问此接口。

内容的提问来源于stack exchange，提问作者user13260866