具有客戶端憑據流的應用程序拒絕訪問

Question

我們已經在AAD中建立了一個應用程序。

已授予該應用程序讀取/寫入所有消息/郵件和“讀取用戶個人資料”的權限，並且全局管理員已按下門戶中的“授予權限”按鈕。 嘗試訪問時，仍然出現“ Access denied錯誤

https://graph.microsoft.com/v1.0/users/{myId}/MailFolders/Inbox/ChildFolders 

為我的用戶名（ myId ）。 當我以自己的用戶身份登錄時，URL在圖形瀏覽器中運行良好。

另外，在jwt.io解碼JWT會顯示應用程序ID，名稱和“ aud”（ https://graph.microsoft.com ）-但沒有角色/作用域。

我們做錯了什么？

Answer 1

這些是委派的權限...因此，您將需要一個具有相同權限的用戶，並在您的應用授權流中使用該用戶的憑據。

有效權限是用戶權限與應用程序的嚴格性的交集 。

“有效權限是您的應用向API發出請求時所擁有的權限。

• 對於委派權限，應用程序的有效權限將是已被授予（通過同意）應用程序的委派權限與當前登錄用戶的特權之間的最小特權。 您的應用程序所擁有的特權永遠不會超過登錄用戶。”

用戶還需要獲得在AAD中使用該應用程序的許可。

如果不是委派的權限，則可能需要某些全局管理員為所有用戶授予同意。 “主題管理員”只能“請求”該應用程序的權限，而全局管理員可以同意所有用戶。

Answer 2

好的，所以我向Microsoft支持提交了一張票。 我尚未收到任何回復，但現在一切正常。 我不知道為什么，但是當我今天早上提交票證時，顯示警告，最近修復了Azure AD的故障，因此也許這就是昨天事情不起作用的原因。