問題描述

在先前的一篇博文中，介紹了如何使用Microsoft Graph API來創建Azure AD用戶（博文參考：【Azure Developer】使用Microsoft Graph API 如何批量創建用戶，用戶屬性中需要包含自定義欄位(如：Store_code，Store_name等），但是在調用創建AAD用戶之前，因為請求的Header中必須包含Authorization：Bearer {token}值。

在中國區獲取Graph API的Authorization可以參考調用專用的API來獲取身份驗證的Token：

###post 請求：

https://login.partner.microsoftonline.cn/<tenantID>/oauth2/token 

###body 資訊: 

grant_type: client_credentials #固定值 
resource: https://microsoftgraph.chinacloudapi.cn/ #固定值 
client_secret: AAD 密鑰 
client_id: AAD 客戶端ID #固定值

PS: 除固定值外，其他值都需要在Azure門戶的AAD所註冊的應用中獲取（如不知如何獲取，可參考博文：【Azure Developer】使用Postman獲取Azure AD中註冊應用程式的授權Token，及為Azure REST API設置Authorization）

成功使用Postman獲取到Access Token截圖示例：

但是在成功的走出第一步後，接下來調用 API 創建User時，接連獲取到如下的三個錯誤：

1）{ “code”: “InvalidAuthenticationToken”, “message”: “Signing key is invalid.”, }

2）{ “code”: “Authorization_RequestDenied”, “message”: “Insufficient privileges to complete the operation.”, }

3）{ “code”: “Request_BadRequest”, “message”: “The domain portion of the userPrincipalName property is invalid. You must use one of the verified domain names in your organization.”, }

問題一：Signing key is invalid

錯誤截圖：

分析Signing Key is invalid錯誤，是因為所獲取的Token在請求時驗證無效，但是Token明明是通過 //login.partner.microsoftonline.cn/<tenantID>/oauth2/token 獲取的。在檢查在Users的API URL時，發現使用的為官網（//docs.microsoft.com/zh-cn/graph/api/user-post-users?view=graph-rest-1.0&tabs=http）中的graph.microsoft.com(Global Azure Graph endpoint)，而它和Token的請求URL不是同一個Azure環境(中國區Azure)。所以這裡需要修改users的API為： https:/ /microsoftgraph.chinacloudapi.cn/v1.0/users

PS: 在使用AAD User時，一定要非常留意所使用的Azure環境，根據環境決定所請求的Endpoint，這可以避免很多錯誤。

Source：//docs.azure.cn/zh-cn/articles/guidance/developerdifferences?toc=%2fguides%2fdeveloper%2ftoc.json#check-endpoints-in-azure