scp或角色声明需要出现在令牌中

Question

我正在尝试构建一个应用程序，该应用程序使用Microsoft Graph自动创建和读取存储在SharePoint 365中的OneNotes中的页面。

只要我登录，我就可以使用 Graph 资源管理器成功执行此操作，但无法使用 Postman 中的持有者令牌使其工作

我得到的错误是：scp 或角色声明需要存在于令牌中

我成功地获得了一个访问令牌:

https://login.microsoftonline.com/common/oauth2/v2.0/token

并传递grant_type、client_id、client_secret、代码、redirect_uri和范围

然后我执行以下调用，头中包含不记名令牌：

https://graph.microsoft.com/v1.0/sites

以下内容被退回：

{
    "error": {
        "code": "AccessDenied",
        "message": "Either scp or roles claim need to be present in the token.",
        "innerError": {
            "request-id": "fa442c72-4ffe-493b-a33a-8e9e78c94f09",
            "date": "2018-01-19T09:56:34"
        }
    }
}

我已按照以下设置了图形权限。我还尝试通过图形权限图像启用所有Notes权限，结果相同

我发现的一个帖子说要检查http://jwt.calebb.net/令牌中返回的内容，我发现它不包含任何角色，所以我想知道这是否是问题所在。

Answer 1

您提到的“https://graph.microsoft.com/v1.0/sites”呼叫无效。还请求~/站点/...除了 Notes.ReadWrite 之外，路由可能需要其他权限。

建议遵循以下参考文献中提到的步骤：

1. https://developer.microsoft.com/en-us/graph/docs/concepts/permissions_reference
2. https://developer.microsoft.com/en-us/graph/docs/concepts/auth_v2_user
3. https://developer.microsoft.com/en-us/graph/docs/concepts/auth_v2_service

Answer 2

获取令牌时，您可能需要在url中声明租户：

https://login.microsoftonline.com/{tenant}/oauth2/v2.0/token

感谢松崎刚，如图所示：如何在Azure AD v2中使用应用程序权限

您的应用程序可以使用以下HTTP请求（OAuth）获取访问令牌。请注意，您不能使用＜code＞https://login.microsoftonline.com/common/oauth2/v2.0/token（常用）用于获取令牌。相反，您必须使用＜code＞https://login.microsoftonline.com/｛tenant｝/oauth2/v2.0/token，用于标识特定的租户。