为什么我不要求管理范围，但我的Azure应用程序为何要求管理员设置？

问题描述

我正在开发一个Web应用程序，该应用程序允许来自任何天蓝色组织的用户使用Windows Graph-Api（范围：File.Read.All）在其OneDrive上授予我的应用程序读取权限

我在azure门户中注册了一个多租户应用程序，并且按照文档中的说明配置了该应用程序

我需要允许其他天蓝色组织的用户同意我的应用程序读取文件内容，但是在我的情况下，我在发送身份验证代码URL后得到了“需要管理员批准”（由另一天蓝色的用户测试）组织）

AuthenticationCode：https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=XXX&response_type=code&redirect_uri=YYY&scope=user.read files.read.all offline_access&state=ZZZ

What a user get after authetification to his Office-365 account

我知道还有其他应用程序没有此问题，例如，应用程序app.diagrams.net仅需要用户同意，而无需管理员同意，即使它要求读写范围也是如此

diagrams.net AuthenticationCode：https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=b5ff67d6-3155-4fca-965a-59a3655c4476&response_type=code&redirect_uri=https%3A%2F%2Fapp.diagrams.net%2Fmicrosoft&scope=user.read files.readwrite.all offline_access&state=cId%3Db5ff67d6-3155-4fca-965a-59a3655c4476

What a user get with diagram application

解决方法

这不是因为任何特定范围。在Azure AD（AAD）术语中的“应用程序配置”下讨论了您问题的答案。简而言之，需要将AAD应用程序“配置”到AAD租户中，并且租户管理员可以选择用户是否可以自行启动它。在这里，这似乎是不允许的。

更详细地，当您创建AAD应用程序时，将创建2个对象：该应用程序的表示形式和处理对该应用程序访问的“服务主体”。当您将AAD应用程序提供给其他租户/组织时，他们需要他们自己的服务主体对象才能访问您的应用程序，这是通过管理员同意（即预配）来实现的。

通常，您应该看两篇文章：

How and why applications are added to Azure AD

How to: Sign in any Azure Active Directory user using the multi-tenant application pattern

这些代码示例应阐明该过程：

Developing a Multi-tenant (SaaS) application with the Microsoft Identity Platform

Protect a multi-tenant SaaS web application that calls Microsoft Graph using Azure AD & OpenID Connect

编辑：更正：租户管理员可以选择是否允许用户启动应用程序设置。鸣谢：@jasonJohnston。