在ADF中使用服务主体证书实现SharePoint到Blob存储的文件复制

1. 配置服务主体的应用权限 #

• 在Azure AD应用注册中定位目标服务主体，进入API权限页面
• 点击添加权限，选择SharePoint（而非Microsoft Graph）
• 选择应用权限，添加Sites.Read.All（若需限制到特定站点，可选择Sites.Selected）
• 点击授予管理员同意（此步骤必须完成，否则权限无法生效）

2. 正确配置ADF HTTP链接服务 #

• 创建或编辑HTTP链接服务，选择OAuth 2.0 Client Credentials授权类型
• 认证方式选择Certificate，填写以下核心信息：
  • 租户ID：你的Azure AD租户ID
  • 服务主体ID：服务主体的应用（客户端）ID
  • 证书：上传PFX格式证书并输入证书密码
  • 资源(Resource)：填写SharePoint站点根URL（如https://contoso.sharepoint.com）——此为关键，不要填写Graph的URL，因为调用的是SharePoint原生REST API

3. 验证HTTP活动的URL格式 #

确保HTTP活动的请求URL符合规范，示例：

https://<your-site-url>/_api/web/GetFileByServerRelativeUrl('<server-relative-file-path>')/$value

实际使用示例：

https://contoso.sharepoint.com/sites/MySite/_api/web/GetFileByServerRelativeUrl('/sites/MySite/Shared%20Documents/report.pdf')/$value

注意：服务器相对路径需准确，空格需转义为%20，路径开头需包含站点相对前缀（如/sites/MySite/...）

4. 手动验证令牌有效性（可选） #

使用Azure CLI或PowerShell手动获取令牌并调用API，排查ADF配置问题：

# Azure CLI获取令牌
az account get-access-token --resource https://contoso.sharepoint.com --tenant <tenant-id> --service-principal --username <client-id> --password <path-to-pfx-cert> --certificate-password <cert-password>

# 调用SharePoint API
curl -H "Authorization: Bearer <获取到的access-token>" "https://contoso.sharepoint.com/sites/MySite/_api/web/GetFileByServerRelativeUrl('/sites/MySite/Shared%20Documents/report.pdf')/$value"

常见问题排查 #

• 若仍报401：检查权限是否已完成管理员同意、资源URL是否正确、证书是否未过期；若使用Sites.Selected权限，需额外在目标站点中给服务主体分配访问权限
• 若切换为Graph API下载：可调用GET /sites/{site-id}/drive/items/{item-id}/content，此时资源URL填https://graph.microsoft.com，并给服务主体添加Graph的Files.Read.All应用权限

内容的提问来源于stack exchange，提问作者L3ni0