Site.Selected über Microsoft Graph, Access Denied trotz global admin Rechten

Hey Zusammen, 

Wir haben folgendes Problem und hoffentlich kann uns dabei jemand weiterhelfen: 

Wir wollen in unserer Firma eine RAG Architektur aufbauen und dafür mit einem App-Only Zugang intern auf bestimmte Sharepoint Daten zugreifen. Dafür haben wir bereits erfolgreich eine App bei Azure registriert, dieser site.Selected Rechte zugewiesen und dies als admin auch bestätigt. 

Bei Microsoft Graph haben wir dann folgende Schritte gemacht um der app die Rechte für die spezifische Seite zuzuweisen: 

1. Die Sharepoint Site ID erstellen lassen mit dem folgenden GET command und unseren Daten: 
   https://graph.microsoft.com/v1.0/sites/xxxxxxxx.sharepoint.com:/sites/xxxxxName
2. Dann einen POST Query mit der folgenden Adresse, Request und Header: 

• https://graph.microsoft.com/v1.0/sites/{site-id}/permissions
• { 
  "roles": ["read"], 
  "grantedToIdentities": [ 
  { "application": 
  { "id": "unsere_app_id", 
  "displayName": 
  "PSvdLGPT_dev" } } ] 
  }
• Header: 'Content-Type' =  'application/json'

Auf diesen POST haben wir dann einen 403 - Access Denied Error bekommen. 

Daraufhin haben wir den Access token decoded, und gesehen, dass die global admin Rechte unter den scp Rechten nicht angezeigt werden. Hier steht lediglich folgendes: 'scp': 'openid profile Sites.Selected User.Read email'. 

Unsere Frage ist nun, ob wir etwas falsch machen/vergessen haben, oder ob wir irgendetwas in unserer Microsoft einstellen/ändern können, sodass die Rechte unserer Admins jeweils auch bei Microsoft Graph erscheinen und so für die Site.Selected Permission genutzt werden können. 

VG, 

Alex

[PII werden vom Harry Liu MSFT-Support maskiert]