Azure AD 应用程序需要管理员批准错误 : App needs permission to access resources in your organization that only an admin can grant

Question

我们有一个用于对 API 进行身份验证的 Azure AD 应用。我们使用offline_access、openid、profile、User.Read等权限，并已授予管理员同意。这已经工作一年了，没有任何问题。本周，我们收到 4-5 个外部用户提示该错误:

Need admin approval

App needs permission to access resources in your organization thatonly an admin can grant. Please ask an admin to grant permission tothis app before you can use it.

1. 它与特定组织的特定外部用户无关，同一组织的其他一些用户不会收到此错误。

2. 只有新的外部用户才会出现此错误，我们尚未收到现有外部用户的任何问题。

3. 管理员在报告错误后再次授予管理员同意，但用户仍然收到相同的错误消息。

我遇到了一些其他问题，但出现了同样的错误。但由于配置自去年以来一直有效，我有点困惑。在此期间，我们有很多外部用户，没有出现任何问题。

我应该检查什么配置来解决这个问题？或者Azure AD默认设置有什么更新吗？

Answer 1

• 检查是否允许用户同意应用访问公司数据他们的代表在企业应用程序用户设置中设置为“否”。

  如果设置为“否”，请将其切换为"is"。该选项让用户自行决定是否要授予对给定应用程序的访问权限组织中的每个人。

From Microsoft’s official documentation: If this option isset to yes, then users may consent to allow applications which arenot published by Microsoft to access your organization’s data, ifthe user also has access to the data. This also means that theusers will see these apps on their Access Panels. If this optionis set to no, then admins must consent to these applications beforeusers may use them.

• 检查是否允许用户请求管理员同意他们使用的应用程序无法同意设置为否。

  如果设置为否，则切换它也是。如果您的组织决定用户确实必须得到明确批准，此选项使这些用户可以轻松请求批准。

  要启用此选项，请单击“用户设置”(相同如上一个干)，然后将管理员同意请求切换为“是的”。确保保存您的更改，这可能需要几分钟的时间传播。

From Microsoft Documentation: If this option is set to yes,then users request admin consent to any app that requires access todata they do not have the permission to grant. If this option is
set to no, then users must contact their admin to request to consent
in order to use the apps they need.

Note : If this Setting is done from your APP tenant , Please also check the external users tenant as this needs to be done from theirside as well as while trying to use the app, your app will retrieveuser profile etc. from the users tenant .

• 添加优先级矩阵作为企业应用程序(组织范围)

  如果你的AAD 管理员决定组织中的每个人都应该访问优先级矩阵，他们可以按照以下步骤操作:

  来自“企业应用程序” View ，单击“所有应用程序”

  选择+用于使用 Azure AD 设置优先级矩阵的新应用程序身份验证

  搜索“优先级矩阵”并继续配置具有 AD 身份验证的应用

Note: If you still face the issue please reach out to Azure support engineer to get assisted support by clicking on (Help+support)and creating a technical support request as it may need live troubleshooting.