Токен доступа Azure REST не работает - похоже, одна из команд неверна?

Question

Итак, последние несколько дней я работал над тем, чтобы REST работал с нашей лазурью, чтобы выполнить пару тысяч небольших изменений. Я думаю, что для этого есть команда REST, но я все еще не могу подключиться к правильной аутентификации. Итак, вчера я нашел этот код в stackru (в вопросе 49211916)

##get token
$TENANTID=""
$APPID=""
$PASSWORD=""
$result=Invoke-RestMethod -Uri https://login.microsoftonline.com/$TENANTID/oauth2/token?api-version=1.0 -Method Post -Body @{"grant_type" = "client_credentials"; "resource" = "https://management.core.windows.net/"; "client_id" = "$APPID"; "client_secret" = "$PASSWORD" }
$token=$result.access_token

$Headers=@{
    'authorization'="Bearer $token"
    'host'="management.azure.com"
    'contentype'='application/json'
}

Мне нравится. Я уже создал приложение в AAD, поэтому я копирую и вставляю для него 3 первых значения.

Затем я перехожу к своей реальной задаче - изменению категории устройства в Intune. Итак, я запускаю код, который нашел в вопросе 957046 несколько дней назад:

     #this is an example for 1 device:
 $intuneDeviceId = 'deadbeef-aaaa-bbbb-cccc-0123456789ab' #update the IntuneDeviceID, you will need to implement a loop for mutiple devices
 $deviceCategoryReqBody = '{"@odata.id":"https://graph.microsoft.com/beta/deviceManagement/deviceCategories/98765432-aaaa-bbbb-cccc-0123456789ab"}' #update the deviceCateg id
 $patchDeviceReqBody = '{}'

 #Running a GET method on the device ID to check its validity
 Invoke-RestMethod -Uri "https://graph.microsoft.com/beta/deviceManagement/managedDevices/$intuneDeviceId/deviceCategory" -Headers $authToken -Method Get

 #calling the PUT method to update device category for that specific device
 Invoke-RestMethod -Uri "https://graph.microsoft.com/beta/deviceManagement/managedDevices/$intuneDeviceId/deviceCategory/`$ref" -Headers $authToken -Method Put -Body $deviceCategoryReqBody

 #calling the PATCH method to update device details about device category
 Invoke-RestMethod -Uri "https://graph.microsoft.com/beta/deviceManagement/managedDevices/$intuneDeviceId" -Headers $authToken -Method Patch -Body $patchDeviceReqBody

  #Running a GET method on the device ID to check its validity
 Invoke-RestMethod -Uri "https://graph.microsoft.com/beta/deviceManagement/deviceCategories/" -Headers $authToken -Method Get

#endregion

Я подставляю переменные и уже при запуске первой команды GET получаю ошибку:

Invoke-RestMethod : The underlying connection was closed: Could not establish trust rel
ationship for the SSL/TLS secure channel.

Что мне не хватает? Как я уже сказал, я зарегистрировал приложение в AAD (именно здесь я получаю идентификатор клиента, идентификатор приложения и пароль). Я добавил разрешения API, но я не являюсь глобальным администратором нашего клиента, поэтому в настоящее время они имеют статус "Не предоставлено для Contoso". Должен ли глобальный администратор утверждать его, прежде чем я вызываю метод rest, или это в дальнейших шагах, меня сейчас не беспокоит?

Answer 1

Не уверен насчет ошибки TLS, но это точно не так:

"resource" = "https://management.core.windows.net/"

Замените это на https://graph.microsoft.com чтобы получить токен для Microsoft Graph API.

Кроме того, администратор приложения / администратор облачного приложения / глобальный администратор должен согласиться с вашими разрешениями на вкладке разрешений API, прежде чем он заработает. Разрешения на уровне приложения всегда требуют согласия администратора.