azure - 非管理员的图形 API 权限

Question

我想向非管理员用户 Bob 授予一些 Graph API 权限，以便它能够无需管理员同意即可读取一些数据。

如果我在此处给予管理员同意，则会向每个用户授予所有权限，但我只想向 Bob 授予一部分权限。

所以我:

1. 注册了新应用
2. 将我感兴趣的 Graph Explorer 权限设置到应用程序(既作为委托(delegate)又作为应用程序)
3. 已授予管理员此类权限的同意
4. 将应用程序分配给 Bob

但是，在以 Bob 身份登录后，图形浏览器告诉我，我没有所需的权限(例如)列出组织中的所有用户。

非常感谢任何帮助!

Answer 1

我尝试在我的环境中重现相同的结果并得到以下结果:

我注册了一个 Azure AD 应用程序，并授予了列出用户所需的特定 API 权限，如下所示:

我创建了一个非管理员用户 Bob 并分配了如下应用程序:

我尝试使用以下以 Bob 身份登录的查询通过 Microsoft Graph Explorer 列出用户，但遇到了相同的错误:

请注意，即使您在 Azure 门户中授予管理员同意，也不会反射(reflect)在 Graph Explorer 中。因此，您必须在 Graph Explorer 中单独同意 Bob。

转到修改权限 -> User.ReadBasic.All -> 同意 -> 接受

在授予同意后，我成功收到了回复，如下所示:

在您的场景中，如果 Bob 在未经管理员同意的情况下无法请求它们，请尝试修改如下设置:

转到 Azure 门户 -> Azure Active Directory -> 企业应用程序 -> 同意和权限 -> 用户同意设置

确保通过单击修改权限选项卡在 Microsoft Graph Explorer 中根据查询授予同意。

引用文献:

List users - Microsoft Graph v1.0 | Microsoft Docs

Overview of consent and permissions | Microsoft Docs