使用Azure Logic App调用AD用户接口时出现Error 403权限不足问题

我来帮你排查这个ErrorInsufficientPermissionsInAccessToken报错的问题——本质是你的访问令牌没有足够权限执行get user操作，哪怕用了全局管理员的来宾用户，还是有几个容易遗漏的配置点要检查：

1. 先调整来宾用户的全局访问限制 #

Azure AD对来宾用户的默认权限是有限制的，哪怕你给了全局管理员角色，默认下来宾只能查看自己的配置文件，没法访问其他用户信息。你得改一下外部协作设置：

• 登录Azure门户，进入Azure Active Directory → 用户设置 → 外部协作设置
• 找到来宾用户访问权限限制，把默认的"来宾用户的访问权限低于成员用户"改成"来宾用户的访问权限与成员用户相同"
• 保存后等几分钟让设置生效

2. 确认连接器的API权限有没有配对 #

你创建连接器连接的时候，会请求Microsoft Graph的权限，就算用全局管理员登录，也可能没拿到必要的权限：

• 打开你的Logic App，找到已连接的Azure AD连接器，点击编辑连接
• 检查是不是请求了User.Read.All或者Directory.Read.All权限（get user要读取其他用户信息，至少需要User.Read.All）
• 如果缺权限，重新创建连接，授权的时候一定要同意授予这些权限

3. 检查应用注册的权限授予 #

如果是用来宾用户的账号密码授权连接器，得确认对应的应用注册有没有拿到权限：

• 进入Azure AD → 应用注册，找到Logic App对应的系统应用（或者你手动创建的连接器应用）
• 切换到API权限标签，看看有没有添加Microsoft Graph的User.Read.All（委托权限），而且已经点击授予管理员同意
• 注意：全局管理员角色本身包含这些权限，但来宾用户的身份可能需要显式确认授权

4. 核对用户标识符是否正确 #

有时候报错也可能是你填的用户ID/UPN不对，系统找不到用户，反而抛出权限相关的提示。先去Azure AD里确认目标用户的UPN或者Object ID，再填到Logic App的get user参数里试试

5. 考虑改用服务主体替代来宾用户 #

如果来宾用户开了MFA，连接器授权可能没法正确处理，导致令牌权限不全。这种情况更推荐用服务主体（应用注册）来授权：

• 新建一个应用注册，给它分配Directory Readers角色，或者直接添加Microsoft Graph的User.Read.All应用权限
• 在Logic App的AD连接器里选择服务主体身份验证，填入应用的客户端ID、租户ID和客户端密钥
• 这种方式比用户凭据稳定，还能避开来宾用户的权限限制

小提醒：全局管理员权限虽高，但来宾用户的身份特性自带一些默认限制，自动化操作优先用服务主体会更靠谱

内容的提问来源于stack exchange，提问作者ElRoro