Azure AD B2C突发故障：调用Graph API MemberOf接口遇授权拒绝错误求助

我看到不少开发者近期反馈过类似的Azure AD B2C + Graph API权限突发失效的问题，尤其是在你提到的4月27日15:00至4月28日08:00这个时间窗口内，即便没有主动变更配置，也确实出现了权限被意外影响的情况。结合社区案例和排查经验，给你几个方向：

• 检查API权限的隐性变更：
  有时候Azure AD B2C的后台服务更新可能会导致已分配的API权限出现同步异常，比如调用MemberOf所需的应用权限（注意不是委派权限）User.Read.All或Directory.Read.All，可能被意外移除或未正确同步。建议：

  1. 进入Azure Portal的AD B2C租户，找到你的应用注册
  2. 切换到「API权限」标签，确认目标权限是否存在且状态为「已授予管理员同意」
  3. 如果权限存在但报错，尝试先移除该权限，重新添加后再次授予管理员同意，触发权限同步

• 验证Access Token的权限声明：
  虽然能获取到access token，但要确认token中是否包含所需的权限。可以用JWT解码工具解析token，查看roles（应用权限）或scp（委派权限）声明里是否有User.Read.All或Directory.Read.All。如果没有，说明token获取流程可能存在问题，或者权限配置未同步到token颁发逻辑。

• 确认Graph API的端点与版本：
  确保你调用的是稳定版Graph API端点（https://graph.microsoft.com/v1.0），beta版本可能存在临时的权限限制。同时，B2C租户调用Graph API必须使用针对全局Graph的端点，不要混淆为AD B2C专用的管理端点。

• 排查Azure服务健康事件：
  那段时间部分Azure区域的AD B2C和Graph API服务出现过短暂的权限同步异常，你可以在Azure Portal的「服务健康」面板中查看4月27-28日的事件通知。这类问题多数会自动恢复，但部分场景需要手动触发权限同步（比如重新授予管理员同意）。

社区里已有不少开发者遇到过相同的无变更突发权限拒绝问题，大多通过重新授予管理员同意或验证token权限声明解决了问题。你可以优先尝试重新同步API权限这一步，通常能解决这类隐性的同步异常。

内容的提问来源于stack exchange，提问作者heathrow