Вызов API management.azure.com не выполняется из-за аутентификации

Question

У меня есть приложение WEB API, работающее через активный каталог Azure.

Я могу получить информацию обо всех пользователях в активном каталоге, например:

var app = ConfidentialClientApplicationBuilder.CreateWithApplicationOptions(_applicationOptions).Build();
string[] scopes = { "https://graph.microsoft.com/.default" };

AuthenticationResult result = null;
try
{
    result = await app.AcquireTokenForClient(scopes).ExecuteAsync();
}
catch (MsalServiceException ex)
{
    // Case when ex.Message contains:
    // AADSTS70011 Invalid scope. The scope has to be of the form "https://resourceUrl/.default"
    // Mitigation: change the scope to be as expected
}

// use the default permissions assigned from within the Azure AD app registration portal
HttpClient client = new HttpClient();
client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", result.AccessToken);
HttpResponseMessage response = await client.GetAsync("https://graph.microsoft.com/v1.0/users");
string content = await response.Content.ReadAsStringAsync();

Но если я попытаюсьполучить арендаторов, звонящих

https://management.azure.com/tenants?api-version=2019-06-01

Я получаю ошибку AuthenticationFailed.

Я полагаю, это потому, что у моего AccessToken нет необходимых областей.

Как я могу это исправить?

Answer 1

Вы получаете токен доступа для API MS Graph, а не API управления Azure.

Используйте следующую область:

https://management.core.windows.net/.default

Документы: https://docs.microsoft.com/en-us/rest/api/azure/#authorization-code-grant-interactive-clients