访问令牌不包含通过微软图形的SCP（角色）声明

Question

我正在使用微软图形SDK为我的应用程序（不是用户）获取访问令牌，以便从共享点读取。我一直在关注这个文档，并发布了这个SO问题。链接的SO中的代码是相同的。我能够添加应用程序权限以及在Azure门户中授予它们（通过按下按钮）。问题是，返回使用的令牌中不包含任何角色/scp声明。因此，当使用令牌时，我收到“令牌中需要存在scp或角色声明”消息。

可以肯定的是，在获取访问令牌时，我传递的范围的唯一值是：https://graph.microsoft.com/.default。我不传递其他任何内容，如 Sites.ReadWrite.All（如果我添加该范围，我会得到一个例外）。我不确定如何继续故障排除，任何帮助将不胜感激。

编辑：使用如下所示的图形SDK添加了代码：

var client = new ConfidentialClientApplication(id, uri, cred, null, new SessionTokenCache());
var authResult = await client.AcquireTokenForClientAsync(new[] {"https://graph.microsoft.com/.default"});
var token = authResult.AccessToken;
var graphServiceClient = new GraphServiceClient(new DelegateAuthenticationProvider(async request => {request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", token)}));
var drives = await graphServiceClient.Sites[<sharepoint_host>].SiteWithPath(<known_path>).Drives.Request().GetAsync(); 

Answer 1

问题是，返回使用的令牌不包含任何角色/ scp声明。

如果在解码的访问令牌中找不到任何角色/scp声明。你需要再次检查Azure门户中的权限。

解码后的访问令牌应该包含您授予的角色。

登录Azure门户-

单击您的应用程序-

获取访问令牌的代码。您可以在此处找到更多详细信息。

    //authority=https://login.microsoftonline.com/{tenant}/
    ClientCredential clientCredentials;
    clientCredentials = new ClientCredential("{clientSecret}");
    var app = new ConfidentialClientApplication("{clientId}", "{authority}", "{redirecturl}",
                                    clientCredentials, null, new TokenCache());
    string[] scopes = new string[] { "https://graph.microsoft.com/.default" };
    AuthenticationResult result = null;
    result =  app.AcquireTokenForClientAsync(scopes).Result;
    Console.WriteLine(result.AccessToken);

Answer 2

解决方案似乎是以不同的方式进行应用程序初始化。取而代之的是：

var client = new ConfidentialClientApplication(id, uri, cred, null, new SessionTokenCache());

这样做：

var app = new ConfidentialClientApplication(ClientId, Authority, RedirectUri, credentials, null, new TokenCache());