azure-active-directory - 应用程序需要访问组织中只有管理员才能授予的资源的权限

Question

我们使用 Microsoft Graph 和范围 openid、email、profile 和 user.readBasic.all 为公共(public)社区(AD 和实时用户可以登录)创建了一个融合应用程序。

对于实时用户来说，一切都很好，但一些 AD 用户无法登录。当他们尝试登录时，他们收到的消息为

"App needs permission to access resources in your organization that only an admin can grant. Please ask an admin to grant permission to this app before you can use it."

根据微软 document我们准备了管理员同意网址作为
https://login.microsoftonline.com/<TenantID>/oauth2/authorize?client_id=<AppID>&response_type=code&redirect_uri=<RedirectURI>&prompt=admin_consent
管理员同意后，用户也无法登录应用程序。请帮助我们这里缺少什么。

Answer 1

您的 URL 用于 v1 端点，而不是 v2 端点(又名聚合端点)。

它应该看起来像这样(为了便于阅读而换行):

https://login.microsoftonline.com/common/adminconsent?
client_id=[APPLICATION ID]&redirect_uri=[REDIRECT URI]

注意是 /adminconsent而不是 /authorize并且没有 prompt查询参数。另请记住，您需要确保您的注册包括您希望获得同意的范围。

我写了一篇文章，引导您完成整个过程，在这里应该会有所帮助: v2 Endpoint and Admin Consent