azure - 更改 accountEnabled 会抛出 403 Authorization_RequestDenied

Question

我正在使用具有定义权限Application.ReadWrite.All和User.ReadWrite.All(两者都包含在承载 token 中)的客户端应用程序(客户端凭据授予)来将用户的 accountEnabled 更改为 false，如下所示:

{
    "accountEnabled": false,
    "city": "C234",
    "country": "AFG",
    "displayName": "Steve Rogers",
    "givenName": "Steve",
    "jobTitle": "Azure",
    "mailNickname": "steve",
    "postalCode": "Z345",
    "streetAddress": "S123",
    "surname": "Rogers",
    "userPrincipalName": "steve@***.onmicrosoft.com",
    "id": "aec...278",
    "mobilePhone": null
}

但所有请求都以 403 结尾

{
  "error": {
    "code": "Authorization_RequestDenied",
    "message": "Insufficient privileges to complete the operation.",
    "innerError": {
      "request-id": "e7a...e42",
      "date": "2019-04-10T08:21:12"
    }
  }
}

文档不包含任何附加权限的限制或要求。这是 Graph API 中的错误吗？

Answer 1

谢谢你们，我找到了根本原因 - 您无法禁用管理员角色的用户。我很不幸，选择了几个用户，他们都担任管理员角色。 https://learn.microsoft.com/en-us/graph/permissions-reference#remarks-2