Azure Schema Extension调用Microsoft Graph API遇空引用及权限错误求助

解决Azure Schema Extension创建时的两个核心问题 #

1. 先搞定「Object reference not set to an instance of an object」内部服务器错误 #

这个错误几乎可以肯定是你的POST请求Body不符合Microsoft Graph API的严格格式要求。Schema Extension的创建请求有几个必填项，格式也不能出错，给你列清楚关键点：

• id：必须是「租户验证域名前缀_自定义名称」的格式（比如contoso_employeeInfo，前缀得和你租户里已验证的域名匹配）
• description：不能空的描述文本
• targetTypes：数组类型，指定扩展要绑定的对象（比如["User", "Group"]）
• properties：数组类型，每个属性必须包含name和type（类型支持String/Integer/Boolean等）

给你一个标准的请求Body示例，你可以对照调整：

{
  "id": "contoso_employeeInfo",
  "description": "Stores HR-related employee data",
  "targetTypes": ["User"],
  "properties": [
    {
      "name": "employeeId",
      "type": "String"
    },
    {
      "name": "hireDate",
      "type": "String"
    }
  ]
}

另外别忘了检查Groovy代码里是否加了Content-Type: application/json请求头，缺失这个也会导致API解析Body失败。

2. 再解决「Authorization_RequestDenied」权限不足问题 #

你当前持有的User.ReadWrite.All、Directory.ReadWrite.All、User.Invite.All权限都不支持Schema Extension的创建操作，Graph API对这个动作的权限要求是：

• 如果是后台服务类的应用权限调用：需要Application.ReadWrite.All
• 如果是用户上下文的委托权限调用：需要Directory.AccessAsUser.All（这个权限必须由全局管理员同意）

你需要做这几步：

1. 登录Azure AD应用注册页面，给你的应用添加对应场景的权限
2. 确保权限已经获得管理员同意（尤其是委托权限的Directory.AccessAsUser.All）
3. 重新获取Token，用jwt.ms解码确认Token的roles（应用权限）或scp（委托权限）字段里包含正确的权限

别被Directory.ReadWrite.All的名字误导，它的权限范围不包含Schema Extension的创建，这是Graph API权限的细分规则。

内容的提问来源于stack exchange，提问作者Mondo