azure - 获取 403 : "Insufficient privileges to complete the operation." when attempting to query Graph API

Question

我们已迁移到我工作的新租户。因此，我们正在尝试将我们的应用程序重新添加到 Azure AD 中。我们有一个过去有效的记录流程，用于为我们的 MVC 和 WebAPI 项目添加应用程序。但是，我们在尝试查询 Graph API 时遇到了错误。在示例应用程序中，我们使用此处的代码创建自定义授权属性，该属性允许我们进行基于组的身份验证。调试/Utilities/GraphHelper.cs 后，我们确定应用程序收到 403 状态错误，并显示一条消息:“权限不足，无法完成操作。”

经过一些研究后，我能够在 Fiddler 中复制身份验证过程。

操作方法:POST

网址:https://login.windows.net/[tennantName]/oauth2/token?api-version=1.0

标题 block :

Content-Type: application/x-www-form-urlencoded 
Host: login.windows.net
Content-Length: 180
Expect: 100-continue 
Connection: Keep-Alive

请求正文:

grant_type=client_credentials&resource=https%3a%2f%2fgraph.windows.net&client_id=[clientId]&client_secret=[urlencoded client secret]

我从此请求中取回一个 token ，然后尝试使用 fiddler 再次从 graphapi 查询联合目录:

操作方法:GET

网址:https://graph.windows.net/[federated域]/directoryObjects/{group-guid}

标题 block :

Content-Type: application/json
Host: graph.windows.net
Authorization: Bearer [token from login response]

我收到了 403 响应正文:

{"odata.error":{"code":"Authorization_RequestDenied","message":{"lang":"en","value":"Insufficient privileges to complete the operation."}}}

在 Azure Active Directory 中，在此应用程序的“应用程序注册”下，具有公司管理员角色的用户已修改 list :

"groupMembershipClaims": "SecurityGroup", ...
"oauth2AllowImplicitFlow": true, 

已生成应用程序 key ，用于获取 token 以访问图形 API。在“应用程序权限所需的权限”下，“读取目录数据”和“读取所有隐藏成员身份”已由具有公司管理员角色的用户选中。

我不知道一切都应该正常。

Answer 1

我调用 MSFT 支持 Azure，显然 Portal.azure.com 分配权限存在问题。我能够通过转到经典门户并重新分配权限来解决此问题。