应用权限下更新用户aboutMe属性遇未授权错误求助

先明确下你遇到的具体错误信息：

{ "error": { "code": "-1, Microsoft.Office.Server.Directory.DirectoryObjectUnauthorizedAccessException", "message": "Attempted to perform an unauthorized operation.", "innerError": { "request-id": "a0112fff-de9a-4917-b627-c4103a04a105", "date": "2018-03-22T11:02:46" } } }

结合你已经配置User.ReadWrite.All和Directory.ReadWrite.All应用权限的情况，给你几个具体的排查和解决方向：

1. 确认权限是否完成管理员授权并生效 #

添加权限只是第一步，必须确保全局管理员已经针对这些权限完成了租户级别的同意授权。你可以登录Azure AD的应用注册页面，进入「API权限」标签，查看权限状态是否显示为「已授予[你的租户名称]」。另外，新权限生效可能需要几分钟到十几分钟的延迟，如果你刚添加完权限，不妨等待一会儿再重试。

2. 检查请求方法与格式是否正确 #

更新用户属性必须使用PATCH请求，误用PUT会导致操作失败（甚至触发权限类错误）。同时要保证请求体是合规的JSON格式，示例如下：

{
  "aboutMe": "你的新个人简介内容"
}

3. 验证目标用户的类型限制 #

如果目标用户是来宾用户，User.ReadWrite.All应用权限可能无法覆盖这类用户的属性更新操作。你可以先尝试更新一个租户内的本地普通用户，看是否能成功，以此排除来宾用户的特殊权限限制。

另外要确认端点路径正确：/v1.0/users/{user-principal-name}，务必将{user-principal-name}替换为用户完整的UPN（比如user@yourtenant.com），不要有拼写或格式错误。

4. 检查令牌的权限声明 #

如果你的应用使用客户端凭据流获取令牌，可以用本地的JWT解码工具查看令牌的roles声明，确认其中是否包含User.ReadWrite.All或Directory.ReadWrite.All的角色值。如果令牌里没有这些权限，说明权限授权流程有问题，需要重新检查权限配置和同意步骤。

5. 排查租户级别的策略限制 #

部分租户可能配置了精细权限策略或身份保护规则，限制了应用对用户属性的修改。你可以先用全局管理员账号通过Graph Explorer（委托权限模式）尝试更新该用户的aboutMe属性：

• 如果能成功，说明是应用权限的配置或租户对应用的限制问题；
• 如果也失败，大概率是租户层面的策略限制，需要联系Azure AD管理员检查相关设置。

内容的提问来源于stack exchange，提问作者Udo Schiefer