如何基于Sites.Selected权限模型为Azure Service Principal授予特定SharePoint站点的访问权限？附Databricks对接权限配置问题求助

兄弟，我刚好踩过类似的坑，给你梳理一套可行的解决方案，应该能搞定你的SP权限授予和PnP登录问题：

一、先给SP配置Sites.Selected应用权限（Azure AD端） #

这是基础步骤，没做的话后面全白搭：

• 登录Azure AD门户，找到你的应用注册（也就是那个Service Principal）
• 进入「API权限」页面，点击「添加权限」→ 选择「SharePoint」→ 选「应用权限」
• 找到并勾选Sites.Selected权限，点击「添加权限」后，一定要点击「授予管理员同意」，这个步骤不能漏，不然权限不会生效

二、给特定SharePoint站点授予SP访问权限 #

这里分两种方式，解决你PnP登录失败的问题：

方式1：用SP凭据登录PnP PowerShell（替代交互式/设备登录） #

你之前的交互式登录不行，大概率是环境限制，直接用SP的密钥登录更靠谱：

1. 先安装最新版PnP模块（避免旧版本的bug）：

   Install-Module -Name PnP.PowerShell -Force -AllowClobber
   

2. 用SP的客户端ID、密钥、租户信息登录目标站点：

   Connect-PnPOnline -Url "https://你的租户名.sharepoint.com/sites/目标站点名" -ClientId "你的SP客户端ID" -ClientSecret "你的SP客户端密钥" -Tenant "你的租户名.onmicrosoft.com"
   

3. 登录成功后，给SP分配站点权限，比如需要全控制权限就执行：

   Set-PnPWebPermission -Identity "你的SP客户端ID" -AddRole "Full Control"
   

   要是只需要读取权限，把Full Control换成Read或者Edit就行，按需调整。

方式2：用Graph API直接授权（适合自动化场景） #

如果不想用PowerShell，直接调用Graph API也能搞定：

• 发送POST请求到：https://graph.microsoft.com/v1.0/sites/{站点ID}/permissions
• 请求体示例（这里给的是读取权限，按需改roles）：

  {
    "roles": ["read"],
    "grantedToIdentities": [
      {
        "application": {
          "id": "你的SP客户端ID",
          "displayName": "你的SP显示名称"
        }
      }
    ]
  }
  

  备注：站点ID可以通过调用https://graph.microsoft.com/v1.0/sites/你的租户名.sharepoint.com:/sites/目标站点名来获取。

三、Databricks对接的权限配置注意点 #

搞定SP的站点权限后，Databricks这边还要注意这些：

• 确保Databricks使用的SP就是你刚才配置权限的那个，客户端ID、密钥、租户ID要完全匹配
• 在Databricks的代码或连接配置里，要正确填写目标SharePoint站点的URL，不能写错
• 建议先在本地用SP凭据测试能不能访问SharePoint（比如用PnP或者Graph API），确认权限没问题后再部署到Databricks，这样能快速排查是权限问题还是Databricks的配置问题

一些排查小技巧 #

• 检查SP的客户端密钥有没有过期，过期的话重新生成一个再试
• 如果你还是想用设备登录PnP，看看你的PowerShell环境有没有代理，代理会拦截设备登录的验证流程
• 确认你自己有目标SharePoint站点的管理员权限，不然你根本没法给SP分配权限

内容来源于stack exchange