Graph Api Authentication failed on Creating Subscription for Call Records with authentication as application答案

【问题标题】：Graph Api Authentication failed on Creating Subscription for CallRecords with authentification as applicationGraph Api Authentication failed on Creating Subscription for Call Records with authentication as application
【发布时间】：2021-10-05 19:01:30
【问题描述】：

我在订阅客户群中的 callRecords 时遇到问题，我的响应状态为 Forbidden（请参阅帖子末尾）。

我做了这些步骤：

向 CallRecords.Read.All 注册一个应用程序注册并获得管理员同意
在尝试发送 POST 请求时，它在我的任何编码程序中都不起作用，但在 Postman 中它使用应用程序权限。

它适用于 Postman，但不适用于 Azure Functions（本地启动）或其他编码应用程序，需要获取合适的不记名令牌。如果使用我从程序例程获得的令牌发送 Post-request，我会收到 Forbidden as Response 消息。

                HttpClient client = new HttpClient();
                HttpRequestMessage request = new HttpRequestMessage(HttpMethod.Post, new Uri("https://login.microsoftonline.com/" + TenantId + "/oauth2/v2.0/token"));

                List<KeyValuePair<string, string>> parameters = new List<KeyValuePair<string, string>>();
                parameters.Add(new KeyValuePair<string, string>("client_id", ClientId));
                parameters.Add(new KeyValuePair<string, string>("scope", "https://graph.microsoft.com/.default"));
                parameters.Add(new KeyValuePair<string, string>("client_secret", ClientSecret));
                parameters.Add(new KeyValuePair<string, string>("grant_type", "client_credentials"));
                request.Content = new FormUrlEncodedContent(parameters);

                HttpResponseMessage response = await client.SendAsync(request);
                string data = await response.Content.ReadAsStringAsync();
                Token = JsonConvert.DeserializeObject<TokenResponse>(data);

清单 1：获取访问令牌

我分析了我用 jwt.ms 获得的这个令牌（ID 和其他信息用 *** 标记）

  "typ": "JWT",
  "nonce": "***",
  "alg": "RS256",
  "x5t": "l3sQ-50cCH4xBVZLHTGwnSR7680",
  "kid": "l3sQ-50cCH4xBVZLHTGwnSR7680"
}.{
  "aud": "https://graph.microsoft.com",
  "iss": "https://sts.windows.net/***/",
  "iat": 1633425547,
  "nbf": 1633425547,
  "exp": 1633429447,
  "aio": "***",
  "app_displayname": "***",
  "appid": "***",
  "appidacr": "1",
  "idp": "https://sts.windows.net/***/",
  "idtyp": "app",
  "oid": "***",
  "rh": "***",
  "sub": "***",
  "tenant_region_scope": "EU",
  "tid": "***",
  "uti": "***",
  "ver": "1.0",
  "wids": [
    "0997a1d0-0d1d-4acb-b408-d5ca73121e90"
  ],
  "xms_tcdt": 1373376639
}.[Signature]

令牌的 JSON 信息

代码中的令牌与我从邮递员应用程序获得的令牌之间的区别是 SCP : "CallRecords.Read.All"

然后我发现，如果我使用具有委托权限的应用程序注册 User.read.All 对我有用，如果我有一个有效的用户登录了相关的租户，那么创建呼叫记录订阅成功。但是在客户端，我们只有一个应用程序注册+密钥，具有 callrecords.read.all 和 User.read.all 权限。在客户案例中，我每次都在未经许可的情况下获得令牌。并且在租户中无法重定向到邮递员回调 url。

我阅读了文档 https://docs.microsoft.com/de-de/graph/sdks/choose-authentication-providers?tabs=CS#client-credentials-provider 和相应的链接，但我没有了解我必须做什么。

我尝试了 youtube 视频 https://www.youtube.com/watch?v=Z1xFjmttEvY 用于发送此帖子的逻辑应用程序 - 步骤与创建客户应用程序注册相似。但它也失败了（同样的错误）。我用 https://graph.microsoft.com/v1.0/subscriptions 与身体：

{
    "resource": "/communications/callRecords",
    "changeType": "created",
    "clientState": "clientStateValue",
    "notificationUrl": " working URLendpoint>",
    "expirationDateTime": "2021-09-28T18:58:05.9125505Z",
    "latestSupportedTlsVersion": "v1_2"
}

{
  "error": {
    "code": "ExtensionError",
    "message": "Operation: Create; Exception: [Status Code: Forbidden; Reason: The request is not authorized for this user or application.]",
    "innerError": {
      "date": "2021-10-05T21:47:03",
      "request-id": "aa624900-02bb-4b06-92ba-755889b1f459",
      "client-request-id": "aa624900-02bb-4b06-92ba-755889b1f459"
    }
  }
}

BadRequest. Http request failed as there is an error getting AD OAuth token: 'AADSTS7000112: Application '***'(***-***-***-***-***) is disabled. Trace ID: ***-***-**-***-**Correlation ID: ***-***-***-***-***Timestamp: 2021-10-05 22:58:29Z'.

通过更新这件事但它不会伤害邮递员，它可以。为什么会这样？为什么我可以复制这种行为？

请有人告诉我我做错了什么或我必须做什么，以便我可以像邮递员那样获取令牌，就像作为应用程序请求一样？

【问题讨论】：

标签： microsoft-graph-api access-token change-notification

【解决方案1】：

您尝试添加的权限需要管理员同意。如果未像下面的屏幕截图那样同意/授予，AAD 将忽略生成的访问令牌而没有角色声明。

要获取包含声明的访问令牌，请确保已正确配置两件事。

确保已为应用添加权限，并由管理员同意/授予该应用的 Azure AAD 门户
如果应用程序和用户位于不同的租户中，请确保应用程序在用户的租户中具有服务主体，并添加并同意了权限。

【讨论】：

谢谢！在第 1 点：我看到已授予管理员同意（如您的第二个屏幕截图所示）。第 2 点是问题所在，我不知道需要什么步骤。创建服务主体（powershell azure portal）的方法有很多，我发现不是具体的方法，如何做以及在哪里做。我计划使用函数应用程序（天蓝色函数），所以我必须为函数应用程序创建服务主体？我从来没有做过。我们的此类管理事务的开发人员是临时的。不可用。
token获取中使用的TenantId是不是你的app所属的租户id？
是的，我知道我们有一个用于 Outlook、团队和其他东西的租户以及另一个用于 azure 资源的租户。从那我知道callrecords-App Reg必须在teeamstenanat中才能找到资源的问题。是的，在客户身上，我也使用客户租户 ID，但我被邀请加入租户，我们可以访问客户订阅，但无权注册应用程序。我们必须告诉他们我们需要什么，所以他们创建了一个 App Reg，在网络会议上我告诉了添加 Callrecords.Read.All 并授予管理员同意的步骤。但我在他们的租户中没有帐户。
你是对的。在这种情况下，最好的方法是让应用在与您再次进行身份验证的租户相同的租户中注册，并且该租户应该是通话记录所在的租户。
您能否描述如何为 azure 函数（函数应用程序）或逻辑应用程序创建服务主体以便我可以将身份验证用作应用程序的步骤？你能告诉我我的用户需要哪些角色和权限，否则我会问一位同事并告诉他他应该做什么。我认为创建服务校长需要对订阅和资源非常高的权限。但如果我认识他们，我可以在我们的租户中进行测试。那么我可以直接测试它并说出必须在客户租户中执行哪些步骤。我希望你能帮助我。

【解决方案2】：

发布的问题只是通过无人看管地撤销 Grant Admin Consent 造成的。

所以我会原谅这个帖子，因为通常没有理由。由于无法查看/检查应用注册，我无法看到撤销同意。

对于受访者的这种不必要的工作，我深表歉意。

所以一般来说答案是正确的。

【讨论】：