Question

我生活在一个企业环境中，我们的大多数生产域目前都不可路由（例如.local）。

我尝试扩展架构，但由于无法路由无法验证，并且默认.onmicrosoft我也不会想到。我的企业允许我轻松创建子域，因此我将其附加并验证用于测试目的并遇到相同的已验证域错误。

Per the documentation，我应该可以使用我的域名ID或只是方案名称，并添加8个随机alpha-chars。在这种情况下，这两种方法都不适用。

POST: https://graph.microsoft.com/v1.0/schemaExtensions

{
    "id": "idmdomain.sub.domain.net_Owners",
    "description": "Owners of the group",
    "targetTypes": [
        "Group"
    ],
    "properties": [{
            "name": "PrimaryOwners",
            "type": "String"
        },
        {
            "name": "SecondaryOwners",
            "type": "String"
        }
    ]
}

收到的消息：

{
    "code": "BadRequest",
    "message": "Your organization must own the namespace idmdomain.sub.domain.net as a part of one of the verified domains.",
    "request-id": "1c7363f9-d54b-408a-8b29-2c0d2a94280a",
    "date": "2018-03-22T21:47:22"
}

Answer 1

来自documentation：

如果您已经与您的租户确认了虚荣.com，.net，.gov，.edu或.org域名，您可以使用域名和模式名称来定义唯一名称，格式为{domainName}_{schemaName}。

例如，如果您的虚荣域名为contoso.com，则可以定义ID为contoso_mySchema。这是首选方案。

因此，在您的示例中，idmdomain.sub.domain.net_Owners应该只是domain_Owners。它不应包括idmdomain，sub，net或任何.。

Answer 2

谢谢Marc指出我正确的方向。即使我的应用程序具有正确的委派权限（Directory.AccessAsUser.All），我现在明白我需要在用户上下文而不是应用程序中执行此更改，因为不支持应用程序。

对于那些落后于我的人{domainName} _ {schemaName}在您验证域名时有效，如果不这样，您只需要离开schemename，那么生成的guid就会按照文档记录的方式工作。我建议回顾下面的两个链接，因为它们最终为我解锁了这个难题。

帮助我了解这是如何工作的（身份验证与授权） https://developer.microsoft.com/en-us/graph/docs/concepts/rest

帮我设置邮递员快速验证 https://blogs.msdn.microsoft.com/softwaresimian/2017/10/05/using-postman-to-call-the-graph-api-using-azure-active-directory-aad/

我应该为邮递员路线添加一些变化......

验证网址 https://login.microsoftonline.com/yourtennantid/oauth2/authorize?resource=https%3A%2F%2Fgraph.microsoft.com

访问令牌网址 https://login.microsoftonline.com/yourtennantid/oauth2/token

范围 = Directory.AccessAsUser.All

无法在已验证的子域目录中扩展架构

2 个答案: