getMemberGroupsの呼び出しが不十分な権限で失敗する

Question

私はユーザーのグループメンバーシップ（推移的）を取得し、そのためにMicrosoft Graphを使用しようとしています。私はトークンでグループクレームを使用していましたが、AD v2.0エンドポイント（動的同意サポートなど）に切り替えた後、トークンにはトークンが含まれていないため、ADから別々に取得する必要があります。

操作は全く同じですが、を使用するには苦労します。Directory.Read.Allのアクセス許可を与えないでください。ドキュメントには、これらのいずれかが動作する必要があることを述べている：

• User.ReadとGroup.Read.All
• User.ReadBasic.Allとオンbehalf-としかしGroup.Read.All
• Directory.Read.All
• Directory.ReadWrite.All
• Directory.AccessAsUser.All

アクセストークンのマイクロソフトグラフへのユーザーのために、要求は常に応答403 Forbiddenとエラーコードで失敗しAuthorization_RequestDenied

私は実際に操作を実行するには、.NET SDKを使用していますが、とそれをREPROでき

POST /v1.0/me/getMemberGroups HTTP/1.1 
Host: graph.microsoft.com 
Authorization: Bearer <removed> 
Content-Type: application/json 
Cache-Control: no-cache 
Postman-Token: dbb2ead3-9863-57ef-af09-d45c3ab88e69 

{ 
    "securityEnabledOnly": false 
} 

HTTPリクエスト純粋なHTTP要求です。これはより明確です。

アクセストークン内を見ると、これは十分な組み合わせであるGroup.Read.AllとUser.Read.Allの両方を持っています。

{ 
    "aud": "https://graph.microsoft.com", 
    [....] 
    "scp": "Group.Read.All User.Read User.Read.All" 
} 

現在のユーザーは、私はこれは彼がどちらかのAD項目に以下の権限を持っていることの問題であってはならないと仮定し、当該ADテナントのグローバル管理者です。私はgetMemberGroups機能がUser.Read（../me/getMemberGroups用）の両方Group.Read.Allと、あなたのケースでのみ必要とすべきである（私の知る限り、この管理者ユーザーを使用している場合、それは問題ではすべきではないということ）v2.0のエンドポイントを使用して

Answer 1

をこのアプリケーションの管理者の同意を行っています。ただし、認可チェックのバグのため、現在はDirectory.Read.All（これはあなたが観察したものです）が必要です。私はこの修正のためにETAを持っていないのが怖いですが、もっと聞くと戻ってきます。このことができます

希望、