Graph API Beta端点accountEnabled过滤器失效，返回Authorization_RequestDenied错误

问题根源 #

你碰到的这个突然出现的Authorization_RequestDenied错误，其实是因为查询里的accountEnabled eq true过滤条件触发了权限校验——要么是最近Microsoft Graph调整了这个过滤条件的权限要求，要么是你的应用/账号的权限配置悄悄变了，导致之前能用的查询现在卡壳了。

快速修复&永久解决 #

• 临时救急：就像你已经发现的，把accountEnabled eq true这个过滤条件删掉，查询立马就能正常跑起来。
• 彻底解决：给你的应用或者登录账号补上对应的权限：
  • 如果是应用权限：需要添加Directory.Read.All，这个得租户管理员同意才能生效，权限范围更大；
  • 如果是委派权限：可以考虑User.Read.All或者User.ReadBasic.All，不过得确保当前登录用户本身有足够的目录访问权限。

验证方法 #

你可以在Graph Explorer里再试一遍补全权限后的查询：

GET https://graph.microsoft.com/beta/users?$filter=(startswith(givenName,'sim') or startswith(surname,'sim')) and accountEnabled eq true

要是能正常返回用户数据，就说明权限配置到位了。

额外提醒 #

别忘了，Microsoft Graph的beta端点是预览版，API行为和权限规则随时可能变，生产环境尽量用稳定的v1.0端点更靠谱。另外也可以问问租户管理员，是不是最近调整了权限策略，说不定能找到权限变更的原因。

内容的提问来源于stack exchange，提问作者Donal McWeeney