InvalidAuthenticationTokenAudience：Logic Apps手动触发认证异常求助

问题根源 #

你当前调用的是Azure Resource Manager（ARM）API来触发Logic Apps，这类API要求访问令牌的受众（aud字段）必须是https://management.azure.com/，但你获取令牌时指定的资源是服务端应用注册的ClientId，导致受众不匹配。

解决方案 #

1. 调整令牌请求的资源参数 #

获取Bearer token时，将请求中的resource参数设置为https://management.azure.com/，而不是服务端应用注册的ClientId。例如，OAuth2令牌请求的关键参数应包含：

resource=https://management.azure.com/

这样返回的令牌aud字段会匹配ARM API要求的受众，解决错误提示的问题。

2. 确保应用注册拥有正确的权限 #

• 给你的客户端/服务端应用注册分配Logic App Contributor角色（或自定义细粒度角色）到目标Logic Apps所在的资源组或订阅。该角色包含触发Logic Apps的权限（Microsoft.Logic/workflows/triggers/run/action）。
• 不需要在Logic Apps的触发器授权设置中添加服务端应用注册的ClientId作为受众，因为ARM API的授权是基于Azure RBAC角色，而非触发器自身的OAuth受众配置。

3. 验证令牌有效性 #

获取令牌后，用jwt.ms解析令牌，确认aud字段值为https://management.azure.com/，确保与错误提示中要求的受众一致。

额外说明 #

如果你是直接调用HTTP触发器的专属URL（而非ARM API），那么之前配置服务端应用注册ClientId作为受众的方式是可行的，但当前场景是通过ARM API触发SQL触发器，必须匹配ARM API的资源受众。

内容的提问来源于stack exchange，提问作者user5618385