调用Logic App REST API报访问令牌受众错误如何解决

令牌认证失败核心是两个配置错误：

1. 令牌请求的scope参数配置错误，误用了自定义应用注册的api://X作为scope，导致返回的令牌受众（aud）是你自己的应用ID，不符合Azure Resource Manager（ARM）API的受众要求
2. 混淆了AAD v2.0令牌端点的参数规则，你传入的audience参数在v2.0端点不会生效，v2.0端点仅通过scope参数判定令牌的目标受众。你创建的api://X是自定义API的应用ID URI，仅适用于访问你自己开发的服务，和Azure官方管控API无关。

1. 配置ARM API访问权限 #

• 进入对应App Registration的「API权限」页面
• 点击「添加权限」，在Microsoft APIs分类下找到「Azure Resource Manager」
• 客户端凭据（服务到服务）调用场景下不需要额外勾选委托/应用权限，直接点击「授予租户管理员同意」即可；如果后续需要支持用户上下文调用，再勾选委托权限下的user_impersonation。

2. 分配RBAC操作权限 #

令牌受众校验通过后，ARM还会校验令牌对应服务主体的资源操作权限，这一步必须配置：

• 进入你要操作的Logic App、所属资源组或订阅的「访问控制(IAM)」页面
• 点击「添加角色分配」，根据操作需求选择对应角色：仅做Logic App CRUD选「Logic App 参与者」即可，需要更高管控权限选「参与者」，也可以根据需求配置自定义细粒度角色
• 成员选择当前App Registration对应的服务主体，保存完成分配。

3. 修正令牌请求参数 #

移除无效的audience参数，将scope替换为ARM官方的受众默认值，正确请求示例如下：

POST https://login.microsoftonline.com/<你的AAD租户ID>/oauth2/v2.0/token
Content-Type: application/x-www-form-urlencoded

grant_type=client_credentials
&client_id=替换为你的App Registration Client ID
&client_secret=替换为你的App Registration Client Secret
&scope=https://management.azure.com/.default

注意：请求URL里的路径参数是你的AAD租户ID，不是App Registration的应用ID

4. 调用验证 #

拿到返回的access_token后可先解码确认，aud字段值为https://management.azure.com即为有效令牌。调用Logic App REST API时，在请求头添加Authorization: Bearer <access_token>即可正常发起CRUD请求。

• AAD v1.0令牌端点用resource参数指定令牌受众，v2.0端点用scope参数指定受众，两个版本参数不要混用，audience参数在两个版本端点中均不生效
• 自定义的api://<应用ID>格式URI仅用于你自己开发的受AAD保护的API，不能用来申请Azure官方服务的访问令牌
• ARM API对令牌受众做精确匹配，必须是错误提示中列出的四个值之一，使用https://management.azure.com/.default作为scope申请的令牌会自动匹配正确受众
• RBAC权限分配有最多15分钟的生效延迟，如果刚分配完权限返回403可以稍等片刻再重试

内容的提问来源于stack exchange，提问作者James Gould