如何解决为什么我不要求管理范围，但我的Azure应用程序为何要求管理员设置？
我正在开发一个Web应用程序，该应用程序允许来自任何天蓝色组织的用户使用Windows Graph-Api（范围：File.Read.All）在其OneDrive上授予我的应用程序读取权限
我在azure门户中注册了一个多租户应用程序，并且按照文档中的说明配置了该应用程序
我需要允许其他天蓝色组织的用户同意我的应用程序读取文件内容，但是在我的情况下，我在发送身份验证代码URL后得到了“需要管理员批准”（由另一天蓝色的用户测试）组织）
AuthenticationCode：https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=XXX&response_type=code&redirect_uri=YYY&scope=user.read files.read.all offline_access&state=ZZZ
What a user get after authetification to his Office-365 account
我知道还有其他应用程序没有此问题，例如，应用程序app.diagrams.net仅需要用户同意，而无需管理员同意，即使它要求读写范围也是如此
diagrams.net AuthenticationCode：https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=b5ff67d6-3155-4fca-965a-59a3655c4476&response_type=code&redirect_uri=https%3A%2F%2Fapp.diagrams.net%2Fmicrosoft&scope=user.read files.readwrite.all offline_access&state=cId%3Db5ff67d6-3155-4fca-965a-59a3655c4476
What a user get with diagram application
解决方法
这不是因为任何特定范围。在Azure AD（AAD）术语中的“应用程序配置”下讨论了您问题的答案。简而言之，需要将AAD应用程序“配置”到AAD租户中，并且租户管理员可以选择用户是否可以自行启动它。在这里，这似乎是不允许的。
更详细地，当您创建AAD应用程序时，将创建2个对象：该应用程序的表示形式和处理对该应用程序访问的“服务主体”。当您将AAD应用程序提供给其他租户/组织时，他们需要他们自己的服务主体对象才能访问您的应用程序，这是通过管理员同意（即预配）来实现的。
通常，您应该看两篇文章：
How and why applications are added to Azure AD
How to: Sign in any Azure Active Directory user using the multi-tenant application pattern
这些代码示例应阐明该过程：
Developing a Multi-tenant (SaaS) application with the Microsoft Identity Platform
编辑：更正：租户管理员可以选择是否允许用户启动应用程序设置。鸣谢：@jasonJohnston。
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。