通过Microsoft Graph创建AAD应用时出现权限不足问题求助

咱们一步步拆解这个权限不足问题的可能原因和排查方法：

1. 确认令牌权限类型是否正确 #

你用client_credentials流获取的是应用权限，解码令牌时要重点看roles字段，而不是scp字段（scp是委托权限的标识字段）。如果令牌里只有scp没有roles，要么是获取令牌时的scope参数错误，要么是管理员同意的是委托权限而非应用权限。

2. 验证管理员同意的权限类型 #

登录Azure AD门户，找到你用来调用Graph的应用注册，进入「API权限」页面：

• 确认Directory.ReadWrite.All的类型是「应用权限」，而非「委托权限」
• 确认权限状态显示「已授予[你的租户名]管理员同意」
  如果是委托权限的同意记录，client_credentials流是无法使用该权限的，需要重新添加应用权限并让管理员完成同意操作。

3. 检查令牌受众和scope参数 #

获取令牌时，scope参数必须设置为https://graph.microsoft.com/.default——这个参数会让Azure AD返回该应用所有已获管理员同意的应用权限。解码令牌后查看aud字段，必须等于https://graph.microsoft.com，否则Graph API会拒绝请求或不识别权限。

4. 考虑权限生效的延迟 #

管理员刚完成权限同意后，Azure AD可能需要5-10分钟同步权限到租户的各个节点，尤其是首次配置的场景。如果刚操作完就测试，可以等待一段时间后重试。

5. 用v1.0端点对比测试 #

Beta端点属于预览版，偶尔会有未文档化的限制。你可以先尝试调用v1.0的/v1.0/applications端点创建应用：

• 如果v1.0能成功，大概率是Beta端点的特定限制，建议查看Microsoft Graph Beta文档确认创建应用的权限规则是否有变更
• 如果v1.0也失败，说明问题出在权限配置或令牌本身

6. 简化请求体排除格式干扰 #

有时候请求体格式错误或包含不必要的属性，Graph API会返回误导性的「权限不足」错误。你可以用最简化的请求体测试：

{
  "displayName": "Test Graph Created App"
}

7. 排查租户层面的限制 #

• 检查Azure AD的「条件访问」策略，确认你的应用没有被限制访问Graph API
• 确认租户没有开启严格的「应用注册限制」（虽然Directory.ReadWrite.All理论上能绕过普通用户的创建限制，但仍需排除租户级别的特殊配置）

额外调试小技巧 #

• 用Microsoft Graph Explorer测试：选择「应用权限」模式，添加Directory.ReadWrite.All并获取管理员同意，再调用Beta的创建应用接口。如果Explorer能成功，说明问题在你的代码实现里；如果也失败，那是租户层面的限制问题。
• 用jwt.ms解码令牌，仔细核对三个关键字段：aud为https://graph.microsoft.com、roles包含Directory.ReadWrite.All、azp是你应用的client ID。

内容的提问来源于stack exchange，提问作者nico-bellante