访问被拒绝：多租户应用程序的令牌中需要存在 scp 或角色声明

Question

我们在Azure AD中有一个多租户注册的应用程序，让我们称其为租户a，我们正在尝试通过图形API在没有用户的情况下访问资源。使用以下详细信息，如果我们尝试使用资源，例如在主租户（租户a）上创建文件或文件夹，我们成功获得令牌。但是，如果我们为另一个租户运行相同的代码，例如租户B（它是租户A的租户之一），我们会得到错误：“AccessDenied:令牌中需要存在scp或roles声明。”事实上，令牌中没有定义任何角色。

我想知道我在这里做错了什么？我还需要为tenantB设置权限/角色吗？

网址： https://login.microsoftonline.com//oauth2/v2.0/token 范围： https://graph.microsoft.com/.default grant_type： client_credentials client_id： client_secret：

Answer 1

我找到了解决方案：租户 B 的管理员必须确认同意，在管理员确认同意后，一切都按预期工作。

Answer 2

您已经找到了解决方案，将其作为答案发布以结束线程：

管理员必须确认整个问题的同意，在确认管理员的同意后，所有工作都符合预期。

如你所想，当你在租户B中使用多租户应用时，它的所有权限仍然要获得租户B的管理员的同意。