MS Graph Java训练中app-auth示例获取用户列表失败的权限问题

1. 管理员同意按钮缺失的原因及解决 #

• 「Grant admin consent for...」按钮仅对全局管理员、云应用管理员、应用程序管理员可见，普通账号登录Azure AD无法看到。请使用具备对应权限的管理员账号登录操作，或联系租户管理员协助完成授权。
• 确认你登录的Azure AD租户与应用注册所在租户一致，跨租户操作会导致按钮不显示。

2. 权限配置的核心要点 #

• app-auth示例基于客户端凭证流（Client Credentials Flow），必须配置应用权限（Application permissions），而非委派权限（Delegated permissions）。委派权限无法在该流程下生效。
• 获取用户列表需要的核心应用权限是User.Read.All或Directory.Read.All，请确认你添加的是这类应用权限，而非用户板块的委派权限。
• 权限添加后必须完成管理员同意才会生效，仅添加权限但未授权的话，访问令牌不会包含对应权限范围，必然触发权限不足错误。

3. 验证访问令牌的权限范围 #

• 解码你的访问令牌（可本地使用JWT解码工具），检查roles字段是否包含User.Read.All或Directory.Read.All。如果该字段为空或无对应权限，说明权限未正确授予或未完成管理员同意。

4. 代码调用的匹配检查 #

• 确认代码中调用的MS Graph API端点支持应用权限，例如获取用户列表的/users端点是支持的。避免调用需要用户上下文的端点（如/me），客户端凭证流无用户上下文，无法访问这类端点。

内容的提问来源于stack exchange，提问作者user12429628