授予Teams.Create权限后Graph Explorer创建Teams仍报Forbidden错误

问题原因及解决方案 #

你遇到的403错误和管理员身份没有直接关联，普通用户只要配置正确即可通过委派权限创建Teams，这个错误的高频触发原因及对应修复方式如下：

• 首先确认权限配置类型正确
  你需要检查Azure AD应用注册的权限配置页，确认Teams.Create、Group.ReadWrite.All两个权限的类型是委派权限，而非应用程序权限，两类权限不互通，如果配置成应用程序权限，委派登录场景下完全不生效。
• 确认权限已完成租户级管理员同意
  上述两个委派权限默认需要租户全局管理员或Teams管理员进行租户级同意，仅在应用注册中添加权限不会生效，哪怕你个人有UI创建Teams的权限也无法绕过这个要求。
• 委派场景必须显式指定所有者
  这是该报错的最常见触发原因：委派权限下调用创建Team接口，必须显式将当前登录用户加入所有者列表，不能省略该配置，模板后端会因为缺少所有者权限直接返回403，应用程序权限场景无此要求。
• 确认Graph Explorer权限配置正确
  Graph Explorer是独立应用，测试前需要手动在其「修改权限」面板中勾选对应权限并完成同意，否则默认权限不足也会返回403。
• 检查租户组创建限制
  部分租户会配置Microsoft 365组创建数量限制、命名策略、安全组准入规则，如果你触发了对应限制，也会返回403，可联系租户管理员核实相关策略。

修正后的代码示例 #

你需要先获取当前登录用户的ID，将其显式加入所有者列表，示例如下：

// 先获取当前登录用户的ID，可通过graphClient.Me.Request().Select("id").GetAsync()获取
var currentUserId = "当前登录用户的Object ID";
var team = new Team
{
    DisplayName = "Test Team",
    Description = "Test Team’s Description",
    AdditionalData = new Dictionary<string, object>()                
    {
        {"template@odata.bind", "https://graph.microsoft.com/v1.0/teamsTemplates('standard')"},
        {"owners@odata.bind", new List<string> {$"https://graph.microsoft.com/v1.0/users/{currentUserId}"}}
    }               
};
var createdTeam = await graphClient.Teams
                 .Request()
                 .AddAsync(team);

内容的提问来源于stack exchange，提问作者AshleyAsh1990