使用委派特权呼叫MS图表，而应用程序特权确实不起作用

Question

我尝试使用图形 api 调用获取用户的自定义属性：

我已使用 User.ReadWrite.All 委托权限 设置了应用程序注册，如 文档 和授予管理员权限：

使用 python，我可以使用我的应用程序注册密钥获取令牌：

def retrieve_token(endpoint, client_id, client_secret):
    # endpoint = "https://login.microsoftonline.com/<tenant-id>/oauth2/token"
    payload = {
        "grant_type":"client_credentials",
        "client_id": client_id,
        "client_secret": client_secret,
        "resource":"https://graph.microsoft.com"
    }
    r = requests.request("POST", endpoint,data=payload).json()["access_token"]
    return r # returns a valid jwt token

然后使用该令牌调用一个函数来获取我的用户的属性：

def get_user_role(endpoint,user_uid, token):
    # endpoint = "https://graph.microsoft.com/v1.0/users/"
    url = endpoint + user_uid 
    headers = {
        "Authorization": "Bearer " + token, 
        "Content-Type": "application/json"
    }
    return requests.request("GET", url, headers=headers).json()

由于某种原因，它缺乏权限：

{'error': {'code': 'Authorization_RequestDenied', 'message': 'Insufficient privileges to complete the operation.', 'innerError': {'date': '2022-03-29T16:11:38', 'request-id': 'xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx', 'client-request-id': 'xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx'}}}

如果我返回 api 的权限并将 User.ReadWrite.All 从 委派权限 更改为 应用程序权限它有效。

根据我在这种情况下阅读的内容，我应该使用委派权限但如何让它发挥作用呢？

Answer 1

如果您使用客户端凭据，请遵循（使用客户端 ID 和客户端密钥进行身份验证），因此您应该需要应用程序权限来获取令牌并调用函数来获取我的用户的属性。因此，不可能使用委托权限使用客户端凭据令牌调用 API。

• 正如评论中所述的 junnas 是正确的当您想要以登录用户身份调用 Web API 时，通常会使用委派权限。

• 应用程序权限：您的应用程序需要直接访问 Web API（无用户上下文）。

因此您应该更改获取访问令牌的方式，例如授权代码流或设备代码流以登录用户身份获取访问令牌

您可以参考此文档可以帮助调用Web API的桌面应用：使用用户名和密码获取令牌