SharePointOnline CSOM 401 Несанкционированное использование предоставленного токена доступа

Я создаю функцию, которая автоматизирует извлечение документов и других файлов SharePoint из веб-API, но мне трудно получить разрешение на выполнение даже базовых операций чтения. Я тестирую это в консольном приложении .NET 6, используя пакет Microsoft.SharePointOnline.CSOM NuGet.

Я зарегистрировал приложение в Azure Active Directory и предоставил ему разрешение Sites.Read.All. Я взял ClientID, ClientSecret и TenantID, сообщаемые этим зарегистрированным приложением, и я использую их в своем консольном приложении. Я могу получить токен доступа без проблем, и расшифровка JWT показывает, что он поставляется с разрешением Sites.Read.All. Но независимо от того, что я пытаюсь сделать, ClientContext.ExecuteQueryAsync() постоянно выдает исключение, жалуясь на то, что удаленный сервер ответил ошибкой 401.

Вот код, который я тестирую:

var clientId = "myClientId";
var clientSecret = "myClientSecret";
var tenantId = "myTenantId";
var authority = "https://login.microsoftonline.com/" + tenantId;
var siteUrl = "https://myorg.sharepoint.com";

var app = new ConfidentialClientApplicationBuilder
    .Create()
    .WithClientSecret(clientSecret)
    .WithAuthority(authority)
    .WithTenantId(tenantId)
    .Build();

var paramBuilder = app.AcquireTokenForClient(new[] { siteUrl + "/.default" });
var authResult = await paramBuilder.ExecuteAsync();

// authResult has successfully retrieved an access token at this point

var context = new ClientContext(siteUrl);
context.ExecutingWebRequest += (_, e) =>
{
    e.WebRequestExecutor.RequestHeaders["Authorization"] = "Bearer " + authResult.AccessToken;
}

context.Load(context.Web);

await context.ExecuteQueryAsync(); // 401 is thrown here

var title = context.Web.Title;

Я пробовал несколько разных способов обойти это безрезультатно:

• Я зашел в центр администрирования своего сайта SharePoint и предоставил приложению разрешения FullControl, а также дал приложению эти разрешения в Azure AD. Кажется, это ничего не изменило, я все еще получаю тот же 401.
• Я зарегистрировал совершенно новое приложение непосредственно из центра администрирования дочернего сайта SharePoint и предоставил ему разрешения FullControl. Я использовал новый идентификатор клиента и секрет клиента, которые были сгенерированы, и смог вернуть токен доступа. Не повезло, все равно звоните 401 ClientContext.ExecuteQueryAsync()
• Я попытался изменить свой siteUrl на URL-адрес конкретного сайта SharePoint (например, https://myorg.sharepoint.com/sites/mySite), но как только я это сделаю, я больше не могу получить токен доступа. Вместо этого я получаю исключение Msal, AADSTS500011, которое гласит:

«Субъект ресурса с именем https://myorg.sharepoint.com/sites/mysite не найден в тенанте с именем (мой тенант). Это может произойти, если приложение не было установлено администратором тенанта или с согласия любого пользователя в арендаторе. Возможно, вы отправили запрос проверки подлинности не тому арендатору.

• Я также пытался использовать базу siteUrl для получения токена, а затем указывал URL-адрес сайта для ClientContext. Я получаю тот же результат 401.
• Я пробовал несколько разных органов на случай, если предоставленный мне токен недействителен. Я пытался использовать URL-адрес токена V1, URL-адрес токена V2, без URL-адреса, специфичного для токена (только адрес центра по умолчанию + идентификатор клиента). Все они возвращают токен доступа, но ни один из них не избегает ошибки 401.
• В статье документации MS предлагается добавить дополнительный «/» к запрошенной области .default в случаях, когда возвращается ошибка 401 (например, https://myorg.sharepoint.com/sites/mysite//.default). Кажется, это ничего не изменило.

У моего приложения, кажется, есть разрешения, необходимые для выполнения этой базовой операции чтения, но я постоянно получаю отказ. Я использую ClientID, ClientSecret и Tenant ID, скопированные непосредственно со страницы приложения AAD. Код, который я использую выше, рекомендован Microsoft для использования нового пакета SharePointOnline.CSOM. Что мне здесь не хватает?