使用Microsoft Graph Java SDK创建目录扩展属性遇401未授权问题

以下是可能的原因及对应的解决方法：

• 权限未完成管理员同意
  应用权限（如Application.ReadWrite.All）必须由全局管理员或应用程序管理员授予租户级别的管理员同意才会生效，仅配置权限但未同意的话，令牌不会包含该权限。
  解决：登录Azure门户，进入「应用注册」→ 目标应用→「API权限」→ 点击「授予管理员同意」（确保选择对应的租户）。

• 使用了错误的认证上下文
  创建目录扩展属性需要使用应用权限上下文（客户端凭据流），如果你的authProvider是基于用户的委派权限（比如授权码流、用户名密码流），即使配置了应用权限，令牌也不会包含该权限，导致401。
  解决：改用客户端凭据流构建认证提供者，示例代码：

  ClientSecretCredential credential = new ClientSecretCredentialBuilder()
      .clientId("你的客户端ID")
      .clientSecret("你的客户端密钥")
      .tenantId("你的租户ID")
      .build();
  
  GraphServiceClient graphClient = GraphServiceClient.builder()
      .authenticationProvider(new ClientCredentialAuthenticationProvider(credential, Arrays.asList("https://graph.microsoft.com/.default")))
      .buildClient();
  

• 目标应用ID错误或无操作权限
  代码中指定的应用ID fd918e4b-c821-4efb-b50a-5eddd23afc6f如果不是当前认证应用的ID，且当前应用没有权限修改该目标应用的属性，会触发401。
  解决：

  • 若为当前应用添加扩展属性，确认代码中的应用ID与认证用的客户端ID一致；
  • 若修改其他应用，确保当前应用是目标应用的所有者，或已被授予足够的目录权限。

• 令牌请求范围不正确
  客户端凭据流中，必须使用https://graph.microsoft.com/.default作为请求范围，否则Azure AD不会返回包含已授予应用权限的令牌。
  解决：检查认证代码中的范围配置，确保使用.default范围。

• 令牌无效或过期
  虽然SDK会自动刷新令牌，但如果初始令牌获取失败或缓存令牌损坏，会导致401。
  解决：

  • 开启SDK日志，排查令牌获取过程中的错误；
  • 清除本地令牌缓存（若存在），让SDK重新获取有效令牌。

• 租户ID不匹配
  认证时指定的租户ID与目标应用所在租户不一致，或应用未在目标租户中注册，会导致权限验证失败。
  解决：确认tenantId是目标应用所在的租户ID，且认证应用已在该租户完成注册并获得权限。

内容的提问来源于stack exchange，提问作者user137062