Microsoft.InformationProtection.Exceptions.AccessDeniedException：该服务不接受身份验证令牌

Question

我想扩展现有的迁移工具，以便在将文件导入到 SharePoint Online 之前对文件设置敏感度标签。我找到了微软信息保护SDK，它似乎提供了必要的API。

为了熟悉API，我下载并运行了ServicePrincipalAuth示例应用程序（请参见https://learn.microsoft.com/en-us/samples/azure-samples/mipsdk-dotnet-file-serviceprincipalauth/mipsdk-dotnet-file-serviceprincipalauth/). 但是，尽管我完全遵循了这些步骤，但我总是在CreateFileEngine方法的行中得到一个AccessDeniedException，消息为“the service don't accept the auth token”

var engine = Task.Run(async () => await profile.AddEngineAsync(engineSettings)).Result;

到目前为止，我已经尝试了两种身份验证变体（证书和密钥）。两者的结果相同。

我的应用程序配置文件如下所示：

<configuration>
  <startup> 
    <supportedRuntime version="v4.0" sku=".NETFramework,Version=v4.7.2"/>
  </startup>
  <appSettings>
    <add key="ida:ClientId" value="[client ID from Azure AD app]"/>    
    <add key="ida:RedirectUri" value="mipsdk-auth-sample://authorize2"/>
    <add key="ida:CertThumbprint" value="[thumbprint of my self-signed certificate]"/>
    <add key="ida:ClientSecret" value="[client secret from Azure AD app]"/>
    <add key="ida:DoCertAuth" value="true"/>        
    <add key="ida:Tenant" value="[my tenant name].onmicrosoft.com"/>        
    <add key="app:Name" value="mipsdk-auth-sample2"/>
    <add key="app:Version" value="1.0.0"/>    
  </appSettings> 
</configuration>

更新:

我们的管理员需要同意 Azure AD 应用请求的 API 权限。完成此操作后，身份验证按预期工作！

不幸的是，我遇到了一个新的错误:

禁用RMS服务以发布此用户的内容。， Cor的ID=e2e…， Cor的ID.描述=FileHandler， Http请求. Id=00d…， ServiceDisabled Erro. Ex的=用户

这次在SetLabel方法中的行：

var result = Task.Run(async () => await handler.CommitAsync(options.OutputName)).Result;

错误消息建议为用户启用RMS服务。我（或我们的管理员）如何为Azure AD应用程序执行此操作？

任何提示都非常感谢！

Answer 1

您看到的错误是因为RMS服务中启用了登录控制策略。

https://learn.microsoft.com/en-us/powershell/module/aadrm/set-aadrmonboardingcontrolpolicy?view=azureipps

您需要与管理员联系，询问他们如何配置策略。如果他们设置了一个组，您需要将服务主体添加到AAD组，该组作为入职控制的一部分启用。