azure-active-directory - Microsoft Graph API - 新的委派权限删除了应用程序权限

Question

我正在将 v1 Azure AD 身份验证 URL (/common/oauth2/authorize) 用于需要 admin_consent 的 Multi-Tenancy 应用。

我尝试添加新范围Directory.AccessAsUser.All。当我的所有其他范围都是“应用程序”级别权限时，这是我请求的第一个“委派”权限。

当我添加新的委托(delegate)范围并提示管理员重新同意时，其他范围从返回的 AccessToken 和响应范围参数中消失。 access_token scp 字段中仅存在 Directory.AccessAsUser.All。

出现这种行为有什么原因吗？我确信我们正在宣传admin_consent，并且管理员是同意的人。

Answer 1

scp 中指定的范围将取决于您用于获取 token 的 OAUTH 流。您不能拥有一个同时具有委托(delegate)应用程序范围和应用程序范围的access_token。

• 应用程序范围在使用客户端凭据流程 (client_credentials) 时应用。

• 使用授权代码或隐式流程(authorization_code 或 implicit)时会应用委托(delegate)范围。

更新:我写了一篇关于这个主题的更深入的文章，可能会帮助面临类似问题的人:Application vs Delegated Scopes 。