如何为托管标识配置SharePoint的Sites.Selected权限？

核心问题说明 #

托管标识完全支持通过Sites.Selected权限访问SharePoint，你遇到的问题源于权限分配时参数错误和令牌请求的Scope格式不正确。

分步修正方案 #

1. 正确分配站点权限 #

Grant-PnPAzureADAppSitePermission命令的-AppId参数需要传入托管标识的客户端ID（而非主体ID/Object ID），这是导致权限分配后Roles为空的直接原因。

修正后的PowerShell命令：

# 替换为你的托管标识客户端ID、目标站点URL
Grant-PnPAzureADAppSitePermission -AppId <Managed Identity Client ID> -DisplayName 'Test' -Site <Your Site URL> -Permissions Write

执行后重新查询权限，此时Roles字段会显示对应的权限（如Write）：

Get-PnPAzureADAppSitePermission -AppId <Managed Identity Client ID> -Site <Your Site URL>

注意：执行命令的账号必须拥有目标站点的站点管理员权限，否则无法完成权限授予操作。

2. 修正访问令牌请求的Scope #

托管标识请求SharePoint令牌时，Scope不能直接用站点URL拼接/.default，需使用租户级SharePoint资源URI格式（或目标站点的完整规范URI）。

修正后的C#代码：

var credential = new ManagedIdentityCredential();
// 替换为你的SharePoint租户根站点或目标站点的URI，结尾加上/.default
var tokenContext = new Azure.Core.TokenRequestContext(new[] { "https://your-tenant.sharepoint.com/.default" });
var token = await credential.GetTokenAsync(tokenContext);

如果是用户分配的托管标识，需在初始化时指定客户端ID：

var credential = new ManagedIdentityCredential("<Managed Identity Client ID>");

3. 验证权限生效 #

确认权限分配成功后，使用获取到的令牌调用SharePoint REST API（例如GET <Your Site URL>/_api/web），验证是否能正常访问目标站点资源。

总结 #

托管标识可通过Sites.Selected权限访问SharePoint，你之前的操作错误在于混淆了托管标识的客户端ID与主体ID，以及令牌请求的Scope格式不正确，修正后即可正常使用。

内容的提问来源于stack exchange，提问作者Adrian Stanisławski