Zrozumienie błędu AADSTS70000 invalid grant w Microsoft Azure i Microsoft 365

By Mirko Peters · 2026-04-21

Błąd AADSTS70000 „invalid grant” to częsty problem administratorów i deweloperów pracujących z usługą Azure Active Directory oraz usługami Microsoft 365. Yo… *Uwaga: segment wygląda na ucięty w połowie zdania („Yo…”). Proszę przesłać pełny tekst, a przetłumaczę resztę.*

Automatically translated with AI from the original post. Read the English original

Cover: Fix Conditional Access Loopholes in Microsoft 365

Błąd AADSTS70000 „invalid grant” to częsty problem administratorów i deweloperów, którzy pracują z usługą Azure Active Directory i usługami Microsoft 365. Ten błąd często pojawia się przy łączeniu systemów lub automatyzacji za pośrednictwem usługi Power Platform, dodatków do programu Outlook albo aplikacji, które opierają się na przepływach uwierzytelniania Microsoft.

Mówiąc prościej, błąd AADSTS70000 oznacza, że podczas uwierzytelniania coś poszło nie tak – zwykle wtedy, gdy aplikacja lub użytkownik próbuje uzyskać token za pomocą protokołu OAuth, ale „grant” nie jest już ważny. Może to zatrzymać przepływ w usłudze Power Automate, przerwać integrację z programem Outlook albo zakłócić logowanie do dowolnej aplikacji korzystającej z usługi Azure lub Entra ID. Jeśli zajmujesz się chmurową infrastrukturą IT lub tworzeniem aplikacji, warto traktować ten błąd poważnie, ponieważ sygnalizuje problemy z uwierzytelnianiem i bezpieczeństwem, które mogą całkowicie zatrzymać systemy.

Znajomość tego, gdzie i kiedy ten błąd może się pojawić, jest kluczowa dla szybkiego rozwiązywania problemów – i pozwala uniknąć frustrujących sytuacji, gdy coś po prostu przestaje działać z dnia na dzień, bez żadnego ostrzeżenia.

Analiza elementów komunikatu o błędzie 70000 invalid grant

Gdy napotkasz błąd AADSTS70000 invalid grant, w rzeczywistości masz przed sobą dwa kluczowe elementy komunikatu o błędzie. Pierwszym jest sam kod błędu – „AADSTS70000”. Ten kod wskazuje konkretnie na problemy z przyznawaniem uprawnień OAuth w strukturze uwierzytelniania Microsoft.

Drugim elementem jest przyczyna, zwykle oznaczona jako „invalid_grant” lub towarzyszący jej komunikat w rodzaju „grant is invalid or malformed”. Oznacza to, że serwer nie mógł zaakceptować żądania tokenu, najczęściej z powodu błędnej konfiguracji, zasad bezpieczeństwa lub problemów ze strukturą grantu.

Jeśli ten błąd pojawia się w dziennikach logowania usługi Azure, czasami zawiera dodatkowe szczegóły, na przykład „refresh token expired” lub „redirect URI mismatch”. Nauka rozpoznawania tych wzorców pozwala szybko odróżnić błędy użytkowników, problemy z rejestracją aplikacji i głębsze nieprawidłowości w konfiguracji usług, skraca czas diagnozy i prowadzi wprost do najbardziej pomocnej dokumentacji Microsoft lub kanałów wsparcia.

Co powoduje błąd 70000 invalid grant?

Oto najczęstsze przyczyny, dla których może pojawić się błąd AADSTS70000 invalid grant. Każda z nich wiąże się z tym, jak protokół OAuth i Azure AD obsługują tokeny, zabezpieczenia oraz ustawienia rejestracji aplikacji:

Nieprawidłowe lub wygasłe przyznania OAuth: Nieprawidłowe lub wygasłe tokeny dostępu i odświeżania to główna przyczyna. Jeśli token zostanie użyty po upływie terminu ważności lub zostanie zmodyfikowany podczas transmisji, Azure AD natychmiast go odrzuci.
Nieprawidłowe identyfikatory URI przekierowania lub niezgodne ustawienia klienta: Drobne różnice w zarejestrowanym identyfikatorze URI przekierowania (nawet brakujący ukośnik) mogą przerwać przepływ. Częstym winowajcą jest zmiana danych aplikacji bez aktualizacji ustawień w Azure AD.
Problemy z tokenami odświeżania: Próba ponownego użycia unieważnionego tokenu odświeżania albo tokenu, który wygasł lub został wystawiony dla innego klienta, powoduje ten błąd. Administratorzy czasami rotują klucze tajne lub resetują hasła, przez co przypadkowo unieważniają te tokeny.
Przerwanie przez zasady dostępu warunkowego i MFA: Jeśli reguła MFA lub zgodności urządzenia zadziała w trakcie przepływu – zwłaszcza w przypadku kont działających w tle lub kont usługowych – przyznanie uprawnień zostaje odrzucone bez większego wyjaśnienia. To subtelny przypadek, który często zaskakuje nawet doświadczonych specjalistów. Chcesz zgłębić zasady dostępu warunkowego i kwestie zaufania? Zobacz tę dyskusję o lukach w zasadach i najlepszych praktykach.
Niezgodności zgód lub zakresów: Gdy uprawnienia zostaną cofnięte, zgoda zostanie udzielona tylko częściowo albo zakresy aplikacji zostaną wycofane, wcześniej działające integracje mogą nagle przestać działać. Administratorzy i deweloperzy integrujący aplikacje zewnętrzne muszą sprawdzić, czy wymagane uprawnienia oraz zgoda administratora nadal obowiązują. Szczegółowe omówienie ryzyka związanego ze zgodą OAuth w usłudze Entra ID znajdziesz na tej stronie.

Rozwiązywanie problemu błędu 70000 invalid grant – ścieżki postępowania

Wyczyść buforowane tokeny i uwierzytelnij się ponownie: Najszybszym sposobem na problemy z tokenami lub sesjami jest rozłączenie i ponowne połączenie dotkniętego konta lub usługi. W przypadku Power Automate, Outlooka i podobnych aplikacji ręczne wylogowanie się i ponowne zalogowanie może wymusić nowy przepływ OAuth i rozwiązać błędy invalid grant.
Sprawdź i popraw identyfikatory URI przekierowania: Przejdź do portalu Azure i upewnij się, że identyfikator URI przekierowania w rejestracji aplikacji dokładnie odpowiada temu, co wysyła aplikacja lub konektor. Nawet jeden dodatkowy znak może zakłócić całe uwierzytelnianie, gdy Azure weryfikuje żądanie.
Zweryfikuj rejestrację aplikacji i sekrety klienta: Upewnij się, że wszystkie ostatnie zmiany w rejestracji aplikacji, rotacje sekretów i zmiany uprawnień są aktualne. Wygasłe lub niezgodne sekrety klienta po cichu psują trwające integracje.
Przejrzyj zasady dostępu warunkowego i zgody: Przeanalizuj zasady dostępu warunkowego pod kątem zbyt szerokich wykluczeń lub braków w zgodności urządzeń – mogą one przerywać przepływy bez żadnego wyraźnego komunikatu o błędzie. Zaostrz procesy wyrażania zgody przez użytkowników i sprawdź, czy zgoda administratora jest nadal wymuszana tam, gdzie jest to potrzebne. Strategie zarządzania znajdziesz w tym szczegółowym przewodniku po najlepszych praktykach bezpieczeństwa.
Zaktualizuj zakresy uprawnień: Dokładnie sprawdź zakresy uprawnień, o które prosi Twoja aplikacja lub automatyzacja. Zakresy czasem zmieniają nazwy lub są wycofywane, szczególnie w Microsoft Graph. Upewnij się, że wszystko jest spójne między kodem aplikacji, rejestracją w portalu i historią zgód.
Wymuś usunięcie tokenów po zmianach bezpieczeństwa: Jeśli tokeny mogły zostać przejęte lub właśnie zaktualizowano zasady haseł, użyj Intune lub portalu Azure, aby unieważnić wszystkie aktywne sesje i wymusić ponowne logowanie dla wszystkich użytkowników i automatyzacji. Aby dowiedzieć się więcej o zwalczaniu uporczywych ataków opartych na zgodzie, zapoznaj się z tym przewodnikiem o ryzykach ataków na zgodę w Entra ID i sposobach ich ograniczania.

Problem w Power Automate: rozwiązywanie błędów uwierzytelniania invalid grant

Ponownie połącz lub zaktualizuj połączenia z danymi: Jeśli przepływ zgłasza błąd 70000, zacznij od otwarcia przepływu w Power Automate, znalezienia połączeń wyświetlających ostrzeżenia i ich ponownego połączenia. Dzięki temu usługa uzyska nowy token, korzystając z najnowszych poświadczeń.
Sprawdź uprawnienia użytkownika i ważność poświadczeń: Upewnij się, że użytkownik przypisany do przepływu ma odpowiedni dostęp do źródła danych. Jeśli konto używane w przepływie jest wyłączone, hasło wygasło lub zmieniły się wymagania MFA, będziesz widzieć uporczywe błędy uwierzytelniania.
Zweryfikuj wymagane zakresy uprawnień: Dokładnie sprawdź, czy przyznane zakresy odpowiadają temu, czego potrzebuje przepływ do odczytu lub wysyłania wiadomości e-mail, tworzenia plików czy dodawania elementów do SharePoint. Jest to szczególnie istotne w przypadku konektorów Outlooka i Teams.
Przejrzyj zasady DLP i ograniczenia konektorów: Zasady ochrony danych (DLP, Data Loss Prevention) mogą po cichu przerwać działanie przepływów, jeśli konektor zmieni status z odblokowanego na zablokowany lub zostanie ponownie sklasyfikowany przez administratorów. Więcej informacji o budowaniu stabilnych automatyzacji z właściwymi granicami DLP znajdziesz w tym przewodniku po zasadach DLP dla deweloperów Power Platform.
Rozpoznawaj przejściowe i trwałe awarie: Czasem błąd 70000 wynika z krótkotrwałych przestojów lub chwilowych problemów usługi. Pojedyncza awaria, po której nastąpiło odzyskanie działania, zazwyczaj nie powinna budzić niepokoju. Jeśli jednak błąd się powtarza, zacznij śledzić uprawnienia połączeń i zakresy zgód w całej dzierżawie.
Przejrzyj konfigurację zarządzania: Luki w zarządzaniu środowiskami lub tożsamościami mogą z czasem pozwolić na wkradanie się zagrożeń związanych z uwierzytelnianiem. Wskazówki dotyczące zarządzania Power Platform znajdziesz w tym przeglądzie najlepszych praktyk.

Azure Sign-In 70000: wykorzystanie dzienników Azure AD i audytu do diagnozy

Zacznij od dzienników logowania Azure AD: Przejdź do dzienników logowania w portalu Azure i przefiltruj błędy z kodem „AADSTS70000”. Sprawdź przyczynę błędu, aplikację kliencką i adres IP źródła. Pozwala to ustalić, czy problem leży po stronie użytkownika, aplikacji, czy konfiguracji.
Analizuj wzorce zachowania tokenów i klientów: Szukaj powtarzających się błędów powiązanych z tym samym użytkownikiem, jednostką usługi lub aplikacją. Konsekwentne błędy „invalid grant” po zaplanowanym zdarzeniu, na przykład rotacji wpisu tajnego, często wskazują na niezgodne zasady tokenów lub wygasłe tokeny odświeżania.
Użyj dzienników audytu Azure AD, aby uzyskać szerszy kontekst: Połącz błędy logowania z dziennikami audytu Azure AD. Pokażą one zmiany w rejestracjach aplikacji, aktualizacje zasad dostępu warunkowego oraz ewentualne masowe unieważnienia tokenów. Zidentyfikowanie zmiany tuż przed pojawieniem się błędów może szybko doprowadzić cię do przyczyny źródłowej.
Korzystaj z zaawansowanych narzędzi audytu: W szerszych analizach w usługach Microsoft 365 narzędzia takie jak Microsoft Purview Audit zapewniają dłuższe przechowywanie danych oraz szczegółowe sygnały przydatne w analizie kryminalistycznej. Dowiesz się, jak skonfigurować i używać tych narzędzi, w tym przeglądzie Purview Audit.
Wzmacniaj ład zarządzania dla stabilności w dłuższej perspektywie: Dobry ład zarządzania pomaga zapobiegać cichym awariom i stopniowemu dryfowi zasad w czasie. Wymuszaj zabezpieczenia za pomocą Azure Policy i monitoruj wyjątki. Kompleksową strategię znajdziesz w przewodniku po strategii ładu zarządzania w Azure.

Synchronizacja czasu i przesunięcie zegara: ukryta przyczyna błędów invalid grant w OAuth

Jedną z najczęściej pomijanych przyczyn błędów AADSTS70000 typu invalid grant jest zwykły brak zgodności zegara systemowego, znany jako przesunięcie zegara (clock skew). Gdy zegar twojego komputera klienckiego i serwerów Microsoft nie wskazują tego samego czasu, tokeny OAuth i kody autoryzacji mogą wyglądać na wygasłe lub jeszcze nieważne, mimo że cała reszta jest poprawna.

Jest to szczególnie uciążliwe w środowiskach zwirtualizowanych lub chmurowych, gdzie różne systemy działają na zegarach nieznacznie rozsynchronizowanych. Opóźnienia sieciowe lub tryby uśpienia urządzeń mogą jeszcze pogłębić problem, sprawiając, że poprawna próba uwierzytelnienia kończy się niepowodzeniem bez oczywistej przyczyny.

Rozwiązanie? Regularnie synchronizuj wszystkie urządzenia z wiarygodnym serwerem NTP. Skonfiguruj automatyczne korekty czasu na kontrolerach domeny, maszynach wirtualnych i urządzeniach użytkowników końcowych. Utrzymanie różnicy w granicach minuty lub dwóch względem „czasu rzeczywistego” jest zdecydowanie lepsze niż tajemnicze niepowodzenia przyznawania uprawnień. Szersze spojrzenie na proaktywne podejścia do bezpieczeństwa Microsoft 365 i Dynamics, w tym na adaptacyjne kontrole, znajdziesz w tym podcaście Zero Trust by Design.