两个Azure AD应用调用Microsoft Graph API，一个成功一个报403禁止错误

1. 先确认权限是否真的生效 #

• 别光看权限列表显示已添加，得确认目标租户里的应用权限是不是已经完成管理员同意——尤其是应用权限或者需要管理员授权的委派权限，没点同意的话，哪怕列表里有也白搭。去Azure门户的应用注册→API权限里看看，权限旁边有没有“已授予”的标识。
• 核对权限类型和调用场景匹配：如果是用客户端凭证流（无用户上下文）调用，就得确保给的是应用权限；要是用的是委派权限，得保证令牌里带了正确的用户上下文和权限范围。

2. 对比两个租户的访问令牌内容 #

• 把两个租户拿到的令牌都丢去https://jwt.ms解析，重点对比这几个字段：
  • roles：目标租户的令牌里必须包含你要调用API的权限（比如User.Read.All），要是缺了，说明权限没给到位。
  • aud：必须是https://graph.microsoft.com，不然令牌根本不对。
  • iss：得是对应租户的微软令牌颁发地址，格式大概是https://login.microsoftonline.com/{租户ID}/v2.0。
  • azp：确认是当前应用的客户端ID，别拿错了别的应用的令牌。

3. 检查API调用和权限的对应关系 #

• 确认你调用的Graph API端点和给的权限匹配：比如调用GET /users需要User.Read.All应用权限或者User.ReadBasic.All委派权限，要是给的是Group.Read.All，肯定会返回403。
• 看看目标租户有没有条件访问策略卡你：比如要求必须在特定地区登录、设备得合规之类的，这些策略可能会阻止应用调用API。去Azure门户→Azure AD→条件访问里查有没有针对这个应用或者用户的规则。

4. 排查应用注册的配置细节差异 #

• 确认目标租户应用的应用程序ID URI格式正确：用v2端点的话，URI得符合要求，不然可能导致权限关联不上。
• 检查“企业应用”里有没有这个应用：Azure AD的“企业应用”里得能找到它，要是没同步过去，权限可能没法生效。

5. 用最小测试缩小问题范围 #

• 先调用最基础的端点试试：比如用委派权限的话调用GET /me，应用权限的话调用GET /organization，看看是不是特定端点的问题。
• 临时加个高权限（比如全局管理员应用权限）测试，如果能正常调用，说明原来的权限配置有细节没做好。

内容的提问来源于stack exchange，提问作者Mohammad Moin-ul islam