javascript - 图形安全端点使用 ADALJS 抛出 HTTP 403

Question

尝试使用 Microsoft Graph Security API 构建客户端应用程序.

我们已经在 Azure 门户中进行了授权，授予了管理员许可，并且 JWT 显示范围存在(下面的片段):

"scp": "Calendars.Read MailboxSettings.Read offline_access People.Read profile SecurityEvents.Read.All SecurityEvents.ReadWrite.All User.Read User.Read.All",

这是我们请求 token 的方式:

// acquire token for ms graph. the service we're acquiring a token for 
// should be the same service we call in the ajax request below
authContext.acquireToken('https://graph.microsoft.com', (error, token) => {
    // Handle ADAL Error
    if (error || !token) {
        printErrorMessage('ADAL Error Occurred: ' + error);
        return;
    }

    this.token = token; //update our data with the token
});

但是当我们通过网络调用到达端点时，我们仍然收到没有返回数据的 403:

$.ajax({
    type: "GET",
    url: "https://graph.microsoft.com/v1.0/security/alerts",
    headers: {
        'Authorization': 'Bearer ' + this.token,
    }
}).done(async (data) => {
    console.log(data);
}).fail(() => {
    console.log('Error getting top 10 people!');
});

这是潜在的错误(通过 Postman):

{
  "error": {
    "code": "UnknownError",
    "message": "Auth token does not contain valid permissions or user does not have valid roles.",
    "innerError": {
      "request-id": "6411dbc9-eebb-4522-b789-62ab5f754d0c",
      "date": "2019-04-23T15:17:12"
    }
  }
}

编辑:访问应用程序的用户附加了“安全阅读器”目录 Angular 色。

如有任何帮助，我们将不胜感激。 :)

Answer 1

看起来你的应用具有正确的范围，但从 Microsoft Graph Security API 请求警报的用户在 Azure AD 中没有Security reader Angular 色。

要为用户添加 Angular 色，请以租户管理员身份登录到 Azure 门户，然后选择 Azure Active Directory 边栏选项卡 > Users > 选择用户名 > Directory Role > 然后选择 Add role。

一旦用户有权读取安全信息，他们应该能够通过 Microsoft Graph Security API 接收警报。

来源:https://learn.microsoft.com/graph/security-authorization#assign-azure-ad-roles-to-users