azure - 了解是否以及何时获得管理员同意

Question

是否可以查询 Graph API 并查找目录管理员是否向应用程序授予了管理员同意以及何时完成？

如果是这样，我该怎么办？

Answer 1

您必须查询oauth2PermissionGrants。要获取它们，您必须知道目标目录中应用程序服务主体的对象 ID。如果您知道应用程序的客户端 ID，则可以获得该信息。

例如，如果我查询 https://graph.windows.net/<tenant id>/servicePrincipals/6e56b47c-4c6e-40f5-aa95-16a0b1cb44fc/oauth2PermissionGrants来自 Azure AD 图形 API:

{
  "odata.metadata": "https://graph.windows.net/<tenant id>/$metadata#oauth2PermissionGrants",
  "value": [
    {
      "clientId": "6e56b47c-4c6e-40f5-aa95-16a0b1cb44fc",
      "consentType": "AllPrincipals",
      "expiryTime": "2017-12-19T09:25:32.3581755",
      "objectId": "fLRWbm5M9UCqlRagsctE_M7PF6398j5LkfWqCoLpQBI",
      "principalId": null,
      "resourceId": "ad17cfce-f2fd-4b3e-91f5-aa0a82e94012",
      "scope": "User.Read",
      "startTime": "0001-01-01T00:00:00"
    }
  ]
}

您可以看到此特定服务主体已被授予 Azure AD Graph API 上 AllPrincipals 的 User.Read 范围，这意味着管理员同意。如果是个人用户同意，则consentType将为Principal，并将principalId设置为给予同意的用户的ID。

请注意，您无法知道何时给予同意。