Postman调用Microsoft Graph创建jobRole扩展属性报资源不存在错误

调用创建扩展属性接口返回Request_ResourceNotFound，按以下优先级排查即可定位问题：

• 路径参数传值错误（最高发）
  接口/applications/{id}中的路径参数id，要求传入Azure AD应用注册对应的目录对象ID（Object ID），而非日常鉴权用的「应用程序（客户端）ID（Client ID）」。你错误信息中提示找不到的资源2d3c554a-bf16-4b39-80d9-9ff210d6c822，大概率就是你误填的客户端ID——该值不属于applications资源集合的主键，自然会被判定为资源不存在。

  验证方式：打开Azure AD对应应用注册的概览页，复制「对象ID」字段的值替换路径中的占位符即可，不要使用同页面的「应用程序(客户端)ID」。

• 权限上下文不匹配
  Microsoft Graph针对无访问权限的资源不会返回403错误，而是统一返回404，避免未授权用户枚举租户内资源，你需要核对令牌权限场景：
  • 若使用委托权限（代表登录用户调用）：Application.ReadWrite委托权限仅允许操作账号自身具备所有权的应用。如果当前调用账号不是目标应用的所有者，也未分配应用管理员、全局管理员、云应用管理员目录角色，就会触发该错误。你可以在应用注册的「所有者」菜单中添加当前调用账号，或给账号分配对应目录角色解决。
  • 若使用应用权限（无用户的守护程序调用）：Application.ReadWrite本身是委托类型权限，无法在应用权限上下文生效，你需要授予Application.ReadWrite.All应用权限，完成管理员同意后重新获取令牌。
• 令牌受众错误
  确认你获取的访问令牌中aud声明值为https://graph.microsoft.com，如果令牌是颁发给AAD Graph、你自己的自定义API等其他资源，调用Microsoft Graph时会出现资源识别异常。

修复后正确的请求格式如下：

POST https://graph.microsoft.com/v1.0/applications/<替换为应用对象ID>/extensionProperties
Content-Type: application/json
Authorization: Bearer <你的访问令牌>

{
    "name": "jobRole",
    "dataType": "String",
    "targetObjects": [
        "User"
    ]
}

调用成功后，生成的扩展属性完整名称会自动拼接应用标识前缀，格式为extension_<去掉横杠的应用客户端ID>_jobRole，后续配置用户属性与令牌的映射规则时，需要使用这个完整名称才能正常在令牌中返回属性值。

内容的提问来源于stack exchange，提问作者Ben3119