调用Microsoft Graph API的getTeamsUserActivityUserDetail遇S2SUnauthorized权限错误

看起来你遇到的问题是Graph Explorer能正常获取报表数据，但Angular应用里调用相同API却返回权限无效的403错误，这通常是因为应用注册的权限配置或者token获取流程和Graph Explorer不一致导致的，下面是几个关键排查和解决步骤：

1. 确认应用权限的类型与授予状态 #

Graph Explorer默认使用的是委托权限（通过你的用户身份登录获取token），但你的Angular应用可能采用了不同的授权方式，需要对应配置正确的权限：

• 登录Azure AD门户，找到你的Angular应用对应的应用注册
• 进入API权限页面，检查是否已添加Reports.Read.All权限：
  • 如果你的应用是通过用户登录访问API（比如前端登录用户），要添加委托权限的Reports.Read.All，并且确保该权限已经获得管理员同意（报表类权限通常需要租户管理员批准，普通用户无法自行同意）
  • 如果你的应用是后台服务模式（无用户参与，用客户端凭证），要添加应用权限的Reports.Read.All，同样必须点击“授予管理员同意”按钮完成权限生效

2. 验证Access Token的权限范围 #

拿到应用请求的access token后，可以用JWT解码工具查看token的内容：

• 对于委托权限，检查scp字段是否包含Reports.Read.All
• 对于应用权限，检查roles字段是否包含Reports.Read.All
  如果token里没有这个权限，说明你的授权流程没有正确请求该权限，需要调整：
• 若是MSAL.js登录流程，确保登录请求的scopes数组包含"Reports.Read.All"
• 若是客户端凭证流，确保请求token时的scope是https://graph.microsoft.com/.default（应用权限需要用这个默认范围来获取所有已配置的应用权限）

3. 检查Graph Client的初始化配置 #

你的Angular应用里的graphClient初始化是否和权限类型匹配：

• 如果用的是用户登录的委托权限，要确保graphClient是基于用户登录后的token初始化的（比如用MSAL.js获取的access token）
• 如果用的是应用权限，要确保graphClient使用客户端凭证（client ID + client secret/证书）来获取token，而不是用户的身份凭证

4. 确认API端点与版本的一致性 #

你的代码里用的是beta版本的API/reports/getTeamsUserActivityUserDetail(period='D7')，虽然Graph Explorer支持beta版本，但要确保应用注册的权限允许访问beta端点（通常没问题，但如果是严格的租户策略可能需要确认），另外也可以尝试用v1.0版本的对应端点（如果存在）来测试是否是版本导致的问题。

举个例子，如果你的Angular应用用MSAL.js，登录时应该这样请求权限：

loginPopup({
  scopes: ["user.read", "Reports.Read.All"]
})

如果以上步骤都检查过，应该能解决这个403权限错误。

内容的提问来源于stack exchange，提问作者baraneetharan