调用Microsoft Defender for Cloud Apps REST API时角色权限不足求助

• 检查Azure AD应用的API权限配置
  确认已添加Microsoft Cloud App Security的应用权限，根据操作需求勾选Files.Read.All或Files.ReadWrite.All，且必须完成管理员同意（后台API调用需应用权限，不要用委托权限）。在Azure AD门户的应用注册->API权限页面，确认权限状态显示“已授予[租户名]管理员同意”。

• 验证MCAS门户中的角色分配
  登录MCAS门户，进入设置->权限->角色，选择或创建包含文件查看/管理权限的角色（如合规管理员、安全管理员，或自定义角色）。将Azure AD应用对应的服务主体添加到该角色中：在角色详情页点击“添加成员”，搜索应用名称并保存。

• 确认API端点正确性
  不同区域的MCAS端点不同，https://aspnet4you2.us3.portal.cloudappsecurity.com/api/v1/files/是US3区域端点，需确保你的MCAS租户属于该区域；不确定的话可使用官方指定的通用REST API端点https://api.cloudappsecurity.com/v1/files/，避免使用门户UI专属端点（如https://portal.cloudappsecurity.com/cas/api/v1/files/）。

• 检查访问令牌内容
  用jwt.ms解码访问令牌，确认：

  • aud（受众）字段为https://cloudappsecurity.azure.com
  • roles字段包含所需权限（如Files.Read.All）
  • tid（租户ID）与MCAS租户ID一致
    若令牌无对应角色，需重新授予管理员同意，或等待权限同步（通常需数分钟至半小时）。

• 排查自定义角色权限范围
  若使用自定义角色，需确保角色权限包含文件扫描相关权限（如“查看文件”“管理文件策略”），权限范围要匹配API调用的操作需求，不要仅设置基础只读权限。

内容的提问来源于stack exchange，提问作者Prodip