使用MSAL客户端密钥获取Azure特定范围OAuth令牌遇错咨询

可以通过客户端密钥（客户端凭据流）获取特定API权限的令牌，你遇到的AADSTS500011错误是由于目标API的资源主体未被正确识别或配置问题导致的，需排查以下几点：

• 验证目标API的资源标识符正确性
  你使用的api://{clientid}/evigetdownload中，api://{clientid}必须是目标API的应用ID URI（可在Azure AD目标API应用的"概述"页面查看）。自定义API通常使用api://{ClientID}作为前缀，而微软托管服务（如Graph API）的前缀是官方域名（例如https://graph.microsoft.com）。

• 确认目标API的注册与授权配置

  1. 目标API必须在你的Azure租户中完成应用注册，且应用ID URI与你使用的前缀完全匹配
  2. 你的客户端应用（企业应用）必须已被授予该API的应用权限（客户端凭据流为无用户场景，无法使用委派权限），且必须由租户管理员完成管理员同意操作

• 检查范围格式是否合规
  客户端凭据流中，特定范围的格式为{API应用ID URI}/{权限名称}。例如目标API的应用ID URI是api://12345-abcde-67890，权限名称为evigetdownload，则正确范围应为api://12345-abcde-67890/evigetdownload。

修正后的示例代码：

string authority = string.Concat(AzureAuthorityInstance, TenantID);
appConfidential = ConfidentialClientApplicationBuilder
        .Create(ClientID)
        .WithClientSecret(clientSecret)
        .WithAuthority(authority)
        .WithLegacyCacheCompatibility(false)
        .Build();

// 使用正确的特定API范围
string[] confidentialScope = new string[] { "api://{目标API的ClientID}/evigetdownload" };
return appConfidential.AcquireTokenForClient(confidentialScope).ExecuteAsync().Result;

若仍报错，请确认租户ID是否正确、目标API是否属于该租户，以及客户端应用的应用权限是否已完成管理员同意。

内容的提问来源于stack exchange，提问作者Manuel