Azure OAuth 访问Function App问题：启用AAD认证后非交互式访问需求

看起来你已经搞定了交互式登录的部分，现在要实现非交互式的客户端凭证流访问，我来一步步帮你梳理配置步骤：

1. 给用于非交互式访问的应用注册分配Function App权限 #

首先得确保你的应用注册有访问Function App的权限：

• 打开Azure门户，找到你的Function App，进入身份验证页面，记下这里的租户ID和应用ID URI（一般是api://{function-app-client-id}格式，这个是后续请求token的关键资源标识）
• 切换到你创建的那个用于非交互式访问的应用注册，进入API权限页面，点击「添加权限」→「我的API」，找到和你的Function App关联的AAD应用（启用AAD认证时会自动生成一个，名字和Function App一致）
• 选择应用权限（因为客户端凭证流是应用级别的访问，不是用户委托的），勾选对应的权限（比如默认的user_impersonation），然后点击「添加权限」
• 最后一定要点击「授予管理员同意」，应用权限必须经过租户管理员同意才能生效

2. 创建应用注册的客户端凭证 #

你需要一个凭证来让应用注册获取token：

• 在应用注册的证书和密码页面，点击「新建客户端密码」，设置过期时间，保存好生成的密码值（一旦离开这个页面就看不到了，一定要记下来）；如果追求更高安全性，也可以上传证书作为凭证

3. 获取访问Token #

用客户端凭证流请求Azure AD的token端点，这里给你个curl示例：

curl -X POST https://login.microsoftonline.com/{你的租户ID}/oauth2/v2.0/token \
-H "Content-Type: application/x-www-form-urlencoded" \
-d "client_id={你的应用注册客户端ID}" \
-d "scope={Function App的应用ID URI}/.default" \
-d "client_secret={你刚才保存的客户端密码}" \
-d "grant_type=client_credentials"

请求成功后会返回包含access_token的JSON，这个就是你访问Function App需要的令牌

4. 使用Token访问Function App #

拿到token后，在请求里带上Authorization头就行：
比如调用GET接口：

curl -H "Authorization: Bearer {你的access_token}" https://{你的Function App名称}.azurewebsites.net/api/{你的函数名称}

如果是POST请求，同样加上这个头，再附上你的请求体就可以了

5. 额外的权限验证（可选但关键） #

如果你的Function App设置了IAM访问控制，别忘了给应用注册对应的服务主体分配合适的角色，比如Function App Contributor或者Reader，否则即使token有效，也可能被IAM拦截
另外，回到Function App的身份验证页面，确认「允许的令牌受众」设置正确，要么包含你的应用注册客户端ID，要么设置为「任何组织目录中的账户」（如果是多租户场景）

常见问题排查 #

如果遇到401错误，先检查这几点：

• 拿到的token里，aud（受众）字段是否和Function App的应用ID URI完全匹配
• 应用注册的权限是否已经完成「授予管理员同意」
• 客户端密码有没有输错或者过期
• Function App的AAD认证设置里，租户ID是否和你的应用注册所在租户一致

内容的提问来源于stack exchange，提问作者Chris_au