尝试更新“mobilePhone”时 Microsoft Graph API 权限不足

Question

当尝试使用应用程序权限更新 (PATCH) 用户的 mobilePhone 属性时，来自 Graph 的响应是“权限不足，无法完成操作”(Authorization_RequestDenied)。

User.ReadWrite.All 和 Directory.ReadWrite.All 权限均已授予。访问令牌通过 client_credentials 授权（oauth2/v2.0/token 端点）请求并指定 .default 范围，并且这两个权限都存在于访问令牌中的 role 声明中。

更新其他属性工作正常。该错误仅在更新 mobilePhone 属性时出现，并且仅具有应用程序权限（使用 Graph Explorer 和管理员用户有效）。

此行为突然开始于 2018 年 10 月 2 日。在此之前，更新手机属性也适用于应用程序权限（相同的权限）。

据我所知，用户 PATCH 请求或 mobilePhone 属性的 Graph 文档中没有添加新的限制/所需权限。这可能是什么问题？

注意：请求是使用 Microsoft.Graph.GraphServiceClient（.NET 标准）发出的，但在使用 Postman 发出请求时也是如此。

编辑：

这是来自 Graph API 的响应：

{
    "error": {
        "code": "Authorization_RequestDenied",
        "message": "Insufficient privileges to complete the operation.",
        "innerError": {
            "request-id": "e956cb0b-af0a-4bb7-aae3-59d39d007a82",
            "date": "2018-10-11T08:27:19"
        }
    }
}

Answer 1

我们的团队遇到了同样的问题，我们向 Microsoft 提出了支持请求并解决了问题。

解决方案是将帮助台管理员角色添加到服务主体/企业应用程序。

Microsoft 更改了更新 PII 的安全策略并更改了允许更新的安全角色。

更多来自我们的支持请求答案：

发生这种情况的原因是最近由于新的 PII 敏感性问题而发生了变化。

因此，您现在需要将帮助台管理员角色添加到服务主体/企业应用程序。

您可以按照此处的文章执行此操作： https://blogs.msdn.microsoft.com/aaddevsup/2018/08/29/how-to-add-an-azure-ad-role-to-a-enterprise-application-service-principal/

这是修改值，例如：mobile/othermails/telephonenumber 属性。