图形测试版同步终结点所需的权限

Question

我已经将主体分配给了应用程序管理员角色，这允许我访问https://graph.microsoft.com/beta/serviceprincipals/{object-id}/但是当我尝试https://graph.microsoft.com/beta/serviceprincipals/{object-id}/synchronization/jobs/时，我得到一个401代码，其中包含

{
  "error": {
    "code": "UnknownError",
    "message": "",
    "innerError": {
      "date": "2021-06-28T14:35:44",
      "request-id": "5c5532e5-b506-475b-b926-8b3ec36525d7",
      "client-request-id": "5c5532e5-b506-475b-b926-8b3ec36525d7"
    }
  }
}

我是否缺少某些角色权限，或者此endpoint与角色权限还不兼容？或者很可能是我太傻了，错过了什么？

我尝试使用golang adal包和AZ帐户get-access-token--resource https://graph.microsoft.com命令获取令牌。

当我作为具有全局管理员角色的AAD用户进行身份验证时，我可以访问此endpoint。

Answer 1

Microsoft Graph的应用程序权限不能完全替换为目录角色权限。它们不能互相替代。

一般来说，AAD图的权限和目录角色权限有一定的重叠。但Microsoft Graph不是。

在本例中，请使用应用程序权限Application.readwrite.ownedby或Directory.readwrite.all。