azure - 是否可以在未经同意的情况下使用 Active Directory Graph Api？

Question

我正在查看示例代码 https://github.com/Azure-Samples/active-directory-dotnet-graphapi-console

看来无论是给应用程序还是给用户获取AD客户端，都需要得到用户的同意。考虑到用户可以提供客户端 ID 或任何其他密码/ secret ，我们是否可以在未经用户同意的情况下使用图形 api？

我正在开发一个项目，该项目应该作为 Windows 服务在后台运行。如果偶尔需要一次同意，那么我们可能无法为此使用 Windows 服务。

谢谢

Answer 1

不，向应用程序添加委派权限不会自动向租户内的用户授予同意。用户仍必须在运行时手动同意添加的委派权限，除非管理员单击 Azure 门户中应用程序页面的所需权限部分中的授予权限按钮来征得管理员同意。在该代码示例中，如果您选择在应用程序模式下运行控制台应用程序，则管理员用户将需要同意应用程序权限。

请点击here有关用户和管理员同意的更多详细信息。

在您的场景中，您可以使用 Client Credentials Grant Flow它允许 Web 服务( secret 客户端)使用自己的凭据而不是模拟用户。添加 Azure AD Graph api 的权限后，使用管理员帐户在 Azure 门户中应用程序页面的必需权限部分中单击授予权限按钮。获得管理员同意后，您可以使用应用程序的身份获取 Graph API 的 token ，并且在运行时不会要求同意。 Code samples使用客户端凭证流程供您引用。