关于创建 oAuth2PermissionGrant（委托权限授予）的问题答案

【问题标题】：Question about Create oAuth2PermissionGrant (a delegated permission grant)关于创建 oAuth2PermissionGrant（委托权限授予）的问题
【发布时间】：2021-11-15 09:32:12
【问题描述】：

我关注了这个文档https://docs.microsoft.com/en-us/graph/api/oauth2permissiongrant-post?view=graph-rest-1.0&tabs=http

添加权限后可以成功请求列表api" Directory.Read.All" 到应用程序，而 create api 返回错误

"error": {
    "code": "Authorization_RequestDenied",
    "message": "Insufficient privileges to complete the operation.",
    "innerError": {
        "date": "2021-11-15T08:54:50",
        "request-id": "46986851-590c-4687-b909-918e9d233f07",
        "client-request-id": "46986851-590c-4687-b909-918e9d233f07"
    }
}

是否需要任何其他权限或需要一些额外的操作？

【问题讨论】：

您好@CYLong，我可以知道您为上述请求所遵循的身份验证方法吗？比如client_credentials/implicit/authcode？span>
@AnsumanBal-MT 隐式。但在我看来，方法与如何创建权限无关。
我能够成功地从 Graph Explorer 使用管理员帐户创建权限。
你也可以试试Graph_Explorer的同样操作，看看是否成功？
@AnsumanBal-MT 我在 Graph Explorer 中没有找到这个 API

标签： microsoft-graph-api azure-ad-b2c msal

【解决方案1】：

这是预期的，因为创建请求需要 Directory.ReadWrite.All。您的应用似乎只有 Directory.Read.All 不足以进行对象写入。

尝试将Directory.ReadWrite.All 添加到您的应用并重试。确保它是由 Azure AD 门户上的管理员授予的。

【讨论】：

它不起作用。
@CYLong 添加 Directory.ReadWrite.All 后请分享来自 Graph API 的错误消息。在问题正文中包含请求 ID 和时间戳。如果您拥有此权限，则您的请求应通过授权，除非您的租户或应用程序存在特定问题。