Ошибка AADSTS70000 «invalid grant» в Microsoft Azure и Microsoft 365: разбираем причины

By Mirko Peters · 2026-04-21

Ошибка AADSTS70000 «invalid grant» – частая головная боль для администраторов и разработчиков, которые работают со службами Azure Active Directory и Microsoft 365. Вы часто увидите её при подключении систем или автоматизаций через Power Platform, надстройки Outlook или приложения, которые опираются на механизмы входа Microsoft.

Automatically translated with AI from the original post. Read the English original

Cover: Fix Conditional Access Loopholes in Microsoft 365

Проще говоря, ошибка AADSTS70000 означает, что что-то пошло не так во время аутентификации – обычно когда приложение или пользователь пытается получить токен по протоколу OAuth, но «разрешение» (grant) уже недействительно. Это может остановить рабочий процесс Power Automate, сломать интеграцию с Outlook или нарушить вход в любое приложение, которое использует Azure или Entra ID для аутентификации. Если вы работаете в облачной ИТ-инфраструктуре или занимаетесь разработкой приложений, к этой ошибке стоит отнестись серьёзно: она указывает на проблемы аутентификации и безопасности, которые могут полностью остановить ваши системы.

Понимание того, как и где эта ошибка может проявиться, необходимо для быстрого устранения неполадок и позволяет избежать тех неприятных ситуаций, когда что-то внезапно перестаёт работать за ночь без каких-либо предупреждений.

Разбор частей сообщения об ошибке invalid grant 70000

Когда вы сталкиваетесь с ошибкой AADSTS70000 invalid grant, на самом деле перед вами два ключевых элемента сообщения. Первый – это сам код ошибки: «AADSTS70000». Этот код указывает на проблемы с OAuth-разрешениями (grants) в платформе аутентификации Microsoft.

Второй элемент – причина, обычно обозначенная как «invalid_grant» или сопровождаемая сообщением вида «grant is invalid or malformed» («разрешение недействительно или некорректно»). Это означает, что сервер не смог принять запрос на токен, как правило из-за неверной конфигурации, политик безопасности или проблем со структурой разрешения.

Если вы видите эту ошибку в журналах входа Azure, иногда в ней будут дополнительные сведения, например «refresh token expired» или «redirect URI mismatch». Умение распознавать такие шаблоны помогает быстро отделить ошибки пользователей, проблемы регистрации приложений и более глубокие неверные настройки служб, сокращает время диагностики и сразу выводит вас на наиболее полезную документацию Microsoft или каналы поддержки.

Что вызывает ошибку 70000 invalid grant?

Вот наиболее распространённые причины, по которым может появиться ошибка AADSTS70000 invalid grant. Каждая из них связана с тем, как OAuth и Azure AD работают с токенами, безопасностью и настройками регистрации приложений:

Некорректные или истёкшие разрешения OAuth: одна из главных причин – недействительные или просроченные токены доступа и обновления. Если токен используется после истечения срока действия или был изменён при передаче, Azure AD сразу его отклоняет.
Неверные URI перенаправления или несовпадающие параметры клиента: незначительные различия в зарегистрированном URI перенаправления (даже отсутствующий слеш) могут нарушить весь процесс. Частая причина – изменение параметров приложения без обновления настроек Azure AD.
Проблемы с токенами обновления: ошибка возникает, если вы пытаетесь повторно использовать отозванный токен обновления либо токен, который истёк или был выдан для другого клиента. Иногда администраторы меняют секреты или сбрасывают пароли и непреднамеренно аннулируют эти токены.
Прерывание политиками условного доступа и MFA: если правило MFA или соответствия требованиям устройства срабатывает в середине процесса – особенно для фоновых или служебных учётных записей, – разрешение отклоняется почти без объяснений. Это коварный случай, который часто ставит в тупик даже опытных специалистов. Хотите глубже разобраться в политиках условного доступа и проблемах доверия? Ознакомьтесь с этим обсуждением пробелов в политиках и лучших практик.
Несовпадение согласий или областей доступа (scopes): если разрешения отозваны, согласованы не полностью или области доступа приложения объявлены устаревшими, ранее работавшие интеграции могут внезапно перестать работать. Администраторам и разработчикам, которые интегрируют сторонние приложения, необходимо перепроверить, что требуемые разрешения и согласие администратора по-прежнему на месте. Подробнее о рисках согласия OAuth в Entra ID – см. эту страницу.

Пути решения проблемы ошибки 70000 invalid grant

Очистите кэшированные токены и пройдите аутентификацию заново: Самый быстрый способ устранить проблемы с токенами или сеансами — отключить и заново подключить затронутую учётную запись или службу. Для Power Automate, Outlook и подобных приложений ручной выход и повторный вход могут запустить новый поток OAuth и устранить ошибки invalid grant.
Проверьте и исправьте URI перенаправления: Откройте Azure Portal и убедитесь, что URI перенаправления в регистрации вашего приложения полностью совпадает с тем, что отправляет приложение или коннектор. Даже один лишний символ может сломать всю аутентификацию, когда Azure проверяет запрос.
Проверьте регистрацию приложения и клиентские секреты: Убедитесь, что все недавние изменения в регистрации приложения, ротация секретов и изменения разрешений актуальны. Истёкшие или несовпадающие клиентские секреты незаметно выводят из строя постоянно работающие интеграции.
Проверьте политики условного доступа и согласия: Проанализируйте политики условного доступа на предмет чрезмерно широких исключений или пробелов в соответствии устройств требованиям — они могут сломать потоки без каких-либо очевидных сообщений об ошибках. Ужесточите процессы пользовательского согласия и убедитесь, что административное согласие по-прежнему применяется там, где это необходимо. Стратегии управления см. в этом подробном руководстве по лучшим практикам безопасности.
Обновите области разрешений: Дважды проверьте области разрешений, которые запрашивает ваше приложение или автоматизация. Области иногда меняют названия или устаревают, особенно в Microsoft Graph. Убедитесь, что всё согласовано между кодом приложения, регистрацией на портале и историей согласий.
Принудительно очистите токены после изменений в безопасности: Если токены могли быть скомпрометированы или вы только что обновили политики паролей, используйте Intune или Azure Portal, чтобы отозвать все активные сеансы и потребовать повторного входа для всех пользователей и автоматизаций. Подробнее о противодействии постоянным атакам доступа через согласие читайте в этом руководстве о рисках атак согласия в Entra ID и методах защиты.

Проблема Power Automate: устранение сбоев аутентификации invalid grant

Переподключите или обновите затронутые подключения к данным: Если ваш поток выдаёт ошибку 70000, начните с открытия потока в Power Automate, поиска подключений с предупреждениями и их повторного подключения. Это заставляет службу получить новый токен с использованием актуальных учётных данных.
Проверьте разрешения пользователя и действительность учётных данных: Убедитесь, что пользователь, назначенный для потока, имеет нужный доступ к источнику данных. Если учётная запись, используемая в потоке, отключена, пароль истёк или изменились требования MFA, сбои аутентификации будут повторяться.
Проверьте требуемые области разрешений: Дважды проверьте, что предоставленные области соответствуют тому, что нужно вашему потоку для чтения или отправки писем, создания файлов или добавления элементов в SharePoint. Это особенно важно для коннекторов Outlook и Teams.
Проверьте политики DLP и ограничения коннекторов: Политики предотвращения потери данных (DLP) могут незаметно сломать потоки, если коннектор переходит из разрешённых в заблокированные или переклассифицируется администраторами. Больше информации о построении стабильной автоматизации с правильными границами DLP — в этом руководстве по политикам DLP для разработчиков Power Platform.
Отличайте временные сбои от постоянных: Иногда ошибка 70000 возникает из-за кратковременных отключений или сбоев службы. Единичный сбой, после которого наступило восстановление, обычно не повод для тревоги, но если ошибка сохраняется, начните проверять разрешения подключений и области согласия во всём клиенте.
Проверьте конфигурацию управления: Пробелы в управлении средами или удостоверениями со временем могут привести к появлению рисков аутентификации. Советы по управлению Power Platform см. в этом обзоре лучших практик.

Ошибка Azure Sign-In 70000: использование журналов Azure AD и аудита для диагностики

Начните с журналов входа Azure AD: Откройте журналы входа в Azure Portal и отфильтруйте сбои по коду «AADSTS70000». Проверьте причину сбоя, клиентское приложение и исходный IP-адрес. Это поможет определить, связана ли проблема с пользователем, приложением или конфигурацией.
Анализируйте шаблоны поведения токенов и клиентов: Ищите повторяющиеся ошибки, связанные с одним и тем же пользователем, субъектом-службой или приложением. Регулярные ошибки «invalid grant» после плановых событий, например ротации секрета, часто указывают на несогласованные политики токенов или истёкшие токены обновления.
Используйте журналы аудита Azure AD для более полного контекста: Сопоставляйте сбои входа с журналами аудита Azure AD. Они показывают изменения регистрации приложений, обновления политик условного доступа и возможные массовые отзывы токенов. Если найти изменение, которое произошло непосредственно перед началом ошибок, можно быстро выйти на первопричину.
Применяйте расширенные инструменты аудита: Для более широких расследований в Microsoft 365 такие инструменты, как Microsoft Purview Audit, обеспечивают расширенное хранение и глубокий анализ сигналов для криминалистического исследования. Узнать, как их настроить и использовать, можно в этом обзоре Purview Audit.
Укрепляйте управление для долгосрочной стабильности: Хорошее управление помогает предотвращать незаметные сбои и накопительный дрейф политик со временем. Обеспечивайте соблюдение ограничений с помощью Azure Policy и отслеживайте исключения. Для комплексной стратегии см. руководство по корпоративному управлению в Azure.

Синхронизация времени и смещение часов: скрытая причина ошибок invalid grant в OAuth

Одна из самых недооценённых причин ошибок AADSTS70000 invalid grant — простое рассогласование системных часов, известное как clock skew (смещение часов). Когда часы клиентского компьютера и серверов Microsoft расходятся, токены OAuth и коды авторизации могут выглядеть истёкшими или ещё не действительными, даже если всё остальное настроено верно.

Это особенно проблематично в виртуализированных и облачных средах, где разные системы работают с немного расходящимися часами. Задержки в сети или переход устройств в спящий режим могут усугубить проблему и привести к тому, что корректная попытка аутентификации необъяснимо завершается сбоем.

Решение? Регулярно синхронизируйте все устройства с надёжным сервером NTP. Настройте автоматическую коррекцию времени на контроллерах домена, виртуальных машинах и устройствах конечных пользователей. Отклонение от «реального времени» не более чем на минуту-две гораздо лучше, чем таинственные сбои авторизации. Более широкий взгляд на проактивные подходы к безопасности Microsoft 365 и Dynamics, включая адаптивные средства контроля, можно найти в этом подкасте Zero Trust by Design.