Azure Graph API - 更新全局管理员用户属性的应用程序权限

Question

我有 Azure 应用程序/ secret ，想要更新用户属性，某些用户是全局管理员，

权限如下图:

对于全局管理员的用户，Azure 应用程序可以更新职位名称，但不能更新手机号码，没有足够的权限来完成操作。对于普通用户，可以更新职位描述和手机号码。

有人知道是否缺少某些委托(delegate)/应用程序权限吗？

在新登录时获取新 token

token = String.IsNullOrEmpty(token) ? getToken(l2.UserName, l2.Password, "https://login.microsoft.com/" + l2.Tenant_ID + "/oauth2/token", l2.URL_Graph) : token;]]

token 是通过传递azure应用程序ID/ secret 生成的

Answer 1

我注册了一个 Azure AD 应用程序并添加了相同的 API 权限，如下所示:

现在，我通过 Postman 传递应用程序 ID 和应用程序 key ，使用客户端凭据流生成访问 token ，如下所示:

POST https://login.microsoftonline.com/tenantId/oauth2/v2.0/token
grant_type:client_credentials
client_id: appId
client_secret: secret 
scope: https://graph.microsoft.com/.default

回应:

当我使用此 token 更新全局管理员的手机号码时，我也遇到了相同的错误，如下所示:

PATCH https://graph.microsoft.com/beta/users/11475d17-d370-4ecc-9bec-xxxxxxxxx/
{
    "mobilePhone": "+91 913xxxxxxx04"
}

回应:

Note that, mobilePhone is sensitive property that requires additional permissions or roles to update.

In app-only scenarios, the app must be assigned a higher privilegedadministrator role.

就我而言，我为应用程序分配了全局管理员角色，如下所示:

分配角色后，我通过再次生成 token 来运行相同的查询，并得到如下响应:

PATCH https://graph.microsoft.com/beta/users/11475d17-d370-4ecc-9bec-xxxxxxxxx/
{
    "mobilePhone": "+91 9133xxxxxx4"
}

回应:

当我在门户中检查相同内容时，手机号码属性更新成功，如下所示:

引用: Update user - Microsoft Graph