如何创建具备权限的Bearer Token以触发Azure Data Sync API？

核心问题拆解 #

你遇到的两个错误分别对应Scope配置错误和权限模型误解，以下是具体解决步骤：

1. 修正Token获取的Scope

用客户端凭据流（共享密钥方式）获取ARM API的Token时，必须指定正确的Scope：

• 错误做法：用应用ID作为Scope，或者仅用https://management.azure.com
• 正确Scope：https://management.azure.com/.default
  这个后缀.default是客户端凭据流的要求，会自动包含应用在ARM API上被授予的所有RBAC权限。

示例获取Token的curl命令：

curl -X POST "https://login.microsoftonline.com/{你的租户ID}/oauth2/v2.0/token" \
-H "Content-Type: application/x-www-form-urlencoded" \
-d "client_id={你的应用ID}" \
-d "scope=https://management.azure.com/.default" \
-d "client_secret={你的应用密钥}" \
-d "grant_type=client_credentials"

2. 用RBAC角色替代应用注册的API权限

你之前添加的Access Azure Service Management、Azure SQL Database等应用权限不适用ARM API的操作。触发Data Sync的API属于Azure资源管理（ARM）范畴，权限控制依赖RBAC角色分配，而非应用注册里的API权限：

• 快速解决方案：在Azure门户中，找到你的SQL Server、Sync Group所在的资源组或订阅，给你的应用分配SQL Database Contributor角色。这个角色包含了Sync Group的所有操作权限，包括触发同步。
• 最小权限方案：如果需要更严格的权限控制，可以创建自定义RBAC角色，仅包含Microsoft.Sql/servers/databases/syncGroups/triggerSync/action这一个操作，然后将该角色分配给应用。

3. 验证Token有效性

获取新Token后，用jwt.ms解码检查：

• aud字段必须是https://management.azure.com
• roles字段应包含你分配的RBAC角色对应的权限标识（比如SQL Database Contributor的角色ID，或自定义角色的ID）

完成以上步骤后，再调用触发Data Sync的API即可正常执行。

内容的提问来源于stack exchange，提问作者Jim Anthony