Graph sigue devolviendo 403 accessDenied

Tengo un problema persistente de 403 Forbidden (accessDenied) al acceder

a un sitio/drive de SharePoint Online vía Microsoft Graph, a pesar de que

el permiso de aplicación Sites.Selected está correctamente otorgado y

verificado por múltiples métodos. Ya agoté los pasos estándar de

diagnóstico y espero que alguien del equipo de Graph/SharePoint o de la

comunidad pueda orientarme sobre qué me estoy perdiendo.

• Azure App Service usando una System-Assigned Managed Identity
• Otorgado el permiso de aplicación "Sites.Selected" en Microsoft Graph
• Otorgado el rol "write" sobre un sitio específico de SharePoint vía: POST /sites/{site-id}/permissions

Cualquier llamada a Graph usando un token de esta identidad contra el

sitio destino devuelve 403 Forbidden, incluyendo operaciones simples de

lectura:

• GET /sites/{site-id}
• GET /sites/{site-id}/drive
• GET /sites/{site-id}/drives
• GET /sites/{site-id}/permissions

Lo que ya verifiqué (con evidencia)

1. Decodifiqué el token JWT de acceso — confirma que el rol está presente: { "roles": ["Sites.Selected"], "aud": "https://graph.microsoft.com" }
2. Confirmé que el AppRoleAssignment existe a nivel de tenant vía: GET /servicePrincipals/{id}/appRoleAssignments — el appRoleId coincide con Sites.Selected en el catálogo de appRoles del Service Principal de Graph (isEnabled: true, allowedMemberTypes: Application).
3. Confirmé que el permiso a nivel de sitio existe vía: GET /sites/{site-id}/permissions { "id": "i:0i.t|ms.sp.ext|{objectId}@{tenantId}", "roles": ["write"], "grantedToIdentities": [{"application": {"id": "{objectId}"}}] }
4. Reproduje exactamente el mismo 403 usando un tipo de identidad completamente distinto — un App Registration estándar con Client Secret (flujo client credentials), con el mismo permiso Sites.Selected otorgado con admin consent, y el mismo permiso write a nivel de sitio. Mismo 403. Esto descarta que sea algo específico de Managed Identity.
5. Reproducido en DOS sitios distintos: un Team Site conectado a un grupo de M365 (esperé más de 4 días para descartar demora de propagación) y un Communication Site nuevo (sin grupo M365). Ambos fallan de forma idéntica.
6. Revisé "Acceso a API" en el SharePoint Admin Center — 0 solicitudes pendientes.
7. Revisé las políticas de "Control de acceso" en el SharePoint Admin Center — políticas estándar (dispositivos no administrados, cierre de sesión inactiva, ubicación de red, autenticación legacy, restricción de OneDrive), nada que debiera afectar el acceso app-only / de Service Principals.
8. Verifiqué la configuración a nivel de tenant: Get-SPOTenant | Select DisableCustomAppAuthentication → False (no está bloqueando autenticación de apps personalizadas)

¿Existe alguna configuración adicional a nivel de tenant, alguna función

en pureview, o algún requisito no documentado que pudiera estar

bloqueando el acceso app-only vía Sites.Selected, incluso cuando tanto

el permiso a nivel de aplicación como el permiso a nivel de sitio están

correctamente otorgados y verificados? Lo reproduje de forma consistente

en dos tipos de identidad distintos y dos tipos de sitio distintos, así

que no creo que sea una demora de propagación ni un error de

configuración en un solo recurso.

Gracias de antemano por cualquier or