Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

setup permissions custom uses User.Read token for OAuth2 grant operation

Đang mở
  • Có gì không ổn?
#486 3 bình luận 0 reaction 1 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 5 ngày

@ajmfehr đang làm issue này rồi.

Từ ngày 10/8/2026.

Đánh giá

Issue này chưa được đánh giá.

Mô tả

bug escalated P1 security

Summary

a365 setup permissions custom attempts to create/read oauth2PermissionGrants with a Microsoft Graph token requested for only User.Read. The operation fails with Authorization_RequestDenied even when the signed-in user is a Global Administrator.

Environment

  • Agent 365 CLI: 1.1.214+90c444832f
  • Windows / PowerShell
  • Signed-in user: Global Administrator

Reproduction

a365 setup permissions custom `
  --resource-app-id 90ecec28-f5a6-42b3-9bde-dae1ca98f8b5 `
  --scopes "Computer.See,Computer.Control" `
  --verbose

Actual behavior

The CLI successfully adds the resource to the blueprint's requiredResourceAccess, then fails while reading/creating the OAuth2 permission grant:

OAuth2 permission grant failed ... Authorization_RequestDenied:
Insufficient privileges to complete the operation.

Verbose logging shows the token provider explicitly requests and reuses a Graph token scoped only to User.Read:

Acquiring Graph token via token provider (... scopes: User.Read)
Reusing cached Graph token ... ::User.Read::...
Graph POST /v1.0/oauth2PermissionGrants ... failed 403 Forbidden

The CLI then reports that tenant admin action is required even though the user is a Global Administrator.

Expected behavior

The CLI should acquire a Graph token containing the permission required by the Graph operation—at minimum DelegatedPermissionGrant.ReadWrite.All—or drive the documented admin-consent handoff when its client app lacks that permission.

Microsoft Graph documents DelegatedPermissionGrant.ReadWrite.All as the least-privileged permission for POST /oauth2PermissionGrants:
https://learn.microsoft.com/graph/api/oauth2permissiongrant-post?view=graph-rest-1.0#permissions

Workaround / validation

Using an independently acquired Graph token containing DelegatedPermissionGrant.ReadWrite.All succeeds for the grant operation. The remaining blueprint inheritance entry can also be created directly through the official inheritablePermissions Graph API.

This issue is especially confusing because the user's directory role is sufficient, but both the directory role and the client token's Graph scopes are required.

Ngôn ngữ chính
C#
Star
61
Fork
35
Merge trung bình
5 ngày 22 giờ
Pull request đã merge (30 ngày)
4

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của microsoft/Agent365-devTools

Tất cả issue của microsoft/Agent365-devTools

Issue tương tự

Thêm issue về C#

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.