Azure中Skype for Business UCWA认证问题：颁发的令牌不被接受

听起来你已经走完了大部分集成流程，但卡在令牌认证这一步确实挺闹心的——我之前在对接UCWA和Skype for Business时也碰到过几乎一模一样的问题，大概率是权限配置或者令牌请求细节上的小疏漏。下面是几个你可以优先排查的方向：

• 确认权限配置的准确性
  虽然你提到已经添加了必要权限，但UCWA对权限的要求有几个容易被忽略的细节：

  • 确保你申请的是Delegated Permissions而非Application Permissions（UCWA主要依赖委派权限，应用权限的支持非常有限）
  • 必须包含SkypeForBusinessOnline/AccessSkypeForBusiness这个核心权限；如果需要调用特定功能（比如发送即时消息、获取联系人列表），还要确认对应的细分权限是否已勾选，比如SkypeForBusinessOnline/SendIM
  • 权限添加完成后，务必重新获取管理员同意——很多时候添加权限后没重新同意，令牌里不会包含对应的权限声明，自然会被拒绝

• 解析并验证令牌的核心字段
  把你拿到的JWT令牌用本地JWT解析工具（比如自定义脚本或离线解析器）拆解开来，重点检查这两个关键字段：

  • scp字段：里面必须包含你申请的UCWA相关权限，比如AccessSkypeForBusiness；如果这个字段缺失或者权限项不匹配，令牌肯定无法通过认证
  • aud字段：必须是UCWA的资源标识符，通常是https://webdir.online.lync.com（中国区环境对应https://webdir.skypeforbusiness.cn）；如果受众（Audience）设置错误，Skype服务会直接拒绝令牌

• 核对令牌请求的参数细节
  检查你获取令牌时的请求参数是否符合要求：

  • 确保resource参数设置为UCWA的资源URI（即上面提到的https://webdir.online.lync.com或对应区域地址）
  • 作为原生应用，grant_type应该使用authorization_code（授权码流）或password（仅测试环境使用），且client_id必须与你在Azure门户注册的原生应用ID完全一致
  • 如果使用密码流，要确认用户名是完整的Skype for Business用户主体名称（UPN），格式类似user@yourtenant.com

• 检查租户侧的UCWA配置
  有时候问题不在应用端，而是租户的Skype for Business环境配置限制：

  • 确认租户已启用Skype for Business Online，且测试用户已分配对应的Skype许可证
  • 通过Skype for Business PowerShell模块执行Get-CsOAuthConfiguration命令，检查租户的OAuth配置是否允许第三方应用访问UCWA服务

如果排查完这些点还是无法解决问题，可以把令牌解析后的关键字段（隐去敏感信息，比如用户名、租户ID）和你申请的权限列表贴出来，这样能更精准地定位问题。

内容的提问来源于stack exchange，提问作者Boris R.