azure-active-directory - 访问 token 验证失败。无效的受众群体

Question

我在出现错误时需要帮助 = 我收到“消息”:“访问 token 验证失败。无效的受众。”，
我在 Oauth 中使用授权代码授予类型。
我已使用 Azure AD 策略将自定义声明映射到应用程序。因此，如果我使用 Scope = AppId/.default，那么我会在 token 中获得自定义声明，并确定 APP 对 Azure AD 具有 API 权限的范围，例如 user.read、directory.read。但是当我为用户配置文件调用图形 API 以查看“https://graph.microsoft.com/v1.0/me/memberOf”的成员时，我收到错误“无效的受众”
但是，如果我使用范围 = https://graph.microsoft.com/.default
然后我可以查询映射到 App 的自定义声明没有出现。
任何帮助，将不胜感激？

Answer 1

token 只能有一个受众，该受众控制它们授予访问权限的 API。您的应用程序/API 的 token 不能用于 Graph。目前尚不清楚您的确切场景是什么，但如果您从您的应用程序/API 调用 Graph，您可能需要查看 on-behalf-of flow将您的第一个代币换成 Graph 代币。