azure - 如何使用 Graph API 在 Azure Active Directory 上创建用户(工作帐户)

Question

我对 Azure Active Directory 和 Graph API 比较陌生。我的目标是能够编写一个 python 程序，调用 Graph API 在 Azure Active Directory 中创建用户。假设我拥有 Azure Active Directory 的全局管理员凭据。

我正在遵循此 link 提供的文档。我可以使用图形浏览器成功创建用户，因为我使用全局管理员的凭据登录。但是，我无法通过我的 python 程序(甚至 Postman REST 客户端)执行相同的操作。我收到一条错误消息，指出“权限不足，无法完成操作。” 我正在使用以下 python 库通过客户端凭据获取访问 token :ADAL python library

看起来我在获取访问 token 来进行调用时没有遵循正确的程序。我什至尝试使用 REST 客户端直接获取访问 token 。如果有人可以检查以下步骤以突出显示任何错误，那就太好了:

第 1 步:点击以下端点

[HTTPS]/login.microsoftonline.com/[my-organization]/oauth2/authorize?client_id=[client-id]&response_type=code&response_mode=query&resource=00000002-0000-0000-c000-000000000000

第 2 步:记下上述请求中的“code”查询参数。然后提出以下要求。

POST [HTTPS]/login.windows.net/[my-orgranization]/oauth2/token?api-version=1.0

HEADERS:

Content-type application/x-www-form-urlencoded

正文:

code=[code received from Step 1]
client_id=[client id of my app in Azure]
client_secret=[client secret of my app in Azure]
grant_type=authorization_code
scope=openid

请注意，上面的值已进行适当的 URL 编码。

我什至尝试在第 2 步中发送全局管理员的凭据(用户名/密码)作为最后的努力，但没有成功。

任何这方面的指示将不胜感激。提前致谢。

Answer 1

您收到的错误是您的应用程序配置导致的。具体来说，您需要将您的应用配置为在调用 AAD Graph API 时拥有创建用户的适当权限。

看看here通过 AAD Graph API 提供的权限范围。

要创建用户，您需要 Directory.ReadWrite.All 或 Directory.AccessAsUser.All。您可以通过查看您的访问 token 并确认这些声明出现在您的访问 token 中来检查您是否已正确完成这一切。

如果您没有这些声明，请返回您的应用注册并确保向 AAD Graph API 添加适当的权限。

请注意，当您更新应用程序的权限时，您将需要再次强制同意提示以同意您请求的新权限，否则身份验证将继续使用您请求的旧权限成功。要强制同意，只需将 &prompt=consent 添加到授权 URL 的末尾即可。

请告诉我这是否有帮助!