Azure权限中‘variants’含义及Graph API markRead 401权限排查

一、关于Find-MgGraphCommand中的「variants」 #

在Find-MgGraphCommand的输出结果里，variants指的是同一个Graph API对应的多种PowerShell命令实现形态。比如针对同一API，会存在不同参数组合、不同调用场景（如批量操作、不同身份验证模式）或者适配Graph不同版本（v1.0/beta）的命令变体，它是用来展示同一API对应的多种可用PowerShell调用选项，无需额外申请相关权限，和你的401错误无关。

二、解决标记服务公告邮件已读的401 Unauthorized错误 #

你已经拥有ServiceMessageViewpoint.Write权限但仍报错，可从以下几个方向排查解决：

• 确认登录时的权限范围：调用Connect-MgGraph时必须明确指定包含ServiceMessageViewpoint.Write的权限范围，否则获取的令牌不会携带该权限。执行以下命令重新登录：

Connect-MgGraph -Scopes "ServiceMessageViewpoint.Write"

• 检查权限类型与身份匹配：
  • 如果ServiceMessageViewpoint.Write是应用权限，需使用应用身份登录（如客户端证书、客户端密钥），而非普通用户的委派身份；
  • 如果是委派权限，登录的用户必须具备全局管理员、服务管理员等对应管理员角色，普通用户无权限操作服务公告的标记已读。
• 使用官方PowerShell命令替代直接调用API：Find-MgGraphCommand返回的对应命令是Invoke-MgMarkAdminServiceAnnouncementMessageRead，直接使用该命令更可靠，示例代码：

# 替换为实际的服务公告消息ID
Invoke-MgMarkAdminServiceAnnouncementMessageRead -ServiceAnnouncementMessageId "your-message-id"

• 验证当前令牌权限：执行Get-MgContext查看当前上下文的Scopes列表，确认是否包含ServiceMessageViewpoint.Write，若没有则需重新登录获取正确令牌。

内容的提问来源于stack exchange，提问作者NealWalters