Azure Active Directory登录:Web应用程序权限,未触发用户同意

Question

我目前已经设置了一个AAD实例,我正在通过我的网络应用程序对我的用户进行身份验证,并且它运行良好.

当我在AAD上添加和配置应用程序时,我添加了所需的应用程序和委派权限以访问Office365 Calendar API.但是,唯一缺少的是在登录流程期间,不会提示用户同意权限,因为它应该从我在您的文档中读到的内容发生:https://msdn.microsoft.com /en-us/library/azure/dn132599.aspx#BKMK_Consent

我不确定我错过了什么.显然,从文档来看,

用户登录后,Azure AD将确定是否需要向用户显示同意页面.此确定基于用户(或其组织的管理员)是否已授予应用程序同意.如果尚未授予同意,Azure AD将提示用户同意并显示其运行所需的权限.同意对话框中显示的权限集与Azure管理门户中其他应用程序控件的权限中选择的权限集相同.

所以也许某种程度上我可能已经暗中授予了这些权限的管理员同意,但我不知道是怎么回事.

我已经附加了我在AAD App上配置的权限.

任何帮助,将不胜感激.

Answer 1

如果管理员使用AUX门户(manage.windowsazure.com)在其租户中创建应用程序,并请求对其他应用程序的权限,则该同一租户中的用户将预先同意该应用程序.请注意,对于我们的其他应用程序注册门户(portal.azure.com或identity.microsoft.com),此行为不适用

我相信这就是当您的租户中的用户登录您的应用程序时,您没有看到同意对话的原因.如果您想推动同意对话体验,您可以做一些不同的事情:

1. 您可以使用查询字符串在登录期间提示"同意"或"admin_consent".点击此处:https://msdn.microsoft.com/en-us/library/azure/dn645542.aspx
2. 您可以使用AAD PowerShell从租户中删除应用程序的服务主体.你可以在这里学习如何做到这一点:https://msdn.microsoft.com/en-us/library/azure/dn194113.aspx
3. 您可以让其他租户的用户尝试登录您的多租户应用程序.
4. 您可以在非管理员帐户下创建应用程序.

我希望这有帮助!

Shawn Tabrizi