Microsoft Graph API - AADSTS90094:授权需要管理员权限

Question

我在https://apps.dev.microsoft.com(平台:Web)中创建了一个应用程序

此应用需要管理员同意某些权限.我记得,在过去,访问https://login.microsoftonline.com/{tenant name}/adminconsent?client_id={application id}&state={some state data}&redirect_uri={redirect uri}管理员帐户是为了允许访问我们组织中只有管理员可以授予的资源.从那里,用户需要提供用户级别的同意才能使用该应用程序.

现在,我可以使用管理员帐户成功登录,并且应用程序按预期工作但是我仍然会收到用户提示,并显示以下消息:

You can't access this application APP NAME needs permission to access resources in your organization that only an admin can grant. Please ask an admin to grant permission to this app before you can use it.

Have an admin account? Sign in with that account

Return to the application without granting consent

错误消息是:AADSTS90094: The grant requires admin permission.似乎没有记录在任何地方..

如果我点击Have an admin account? Sign in with that account并使用管理员帐户登录,它可以正常工作但是再次尝试使用常规用户帐户我再次收到上述消息.

编辑: 所以我剥夺了权限到最低限度.在我的应用范围现在:openid,profile,user.read 和Microsoft Graph权限是现在,对于委托权限:Mail.Send,User.Read.应用程序权限中没有任何内容我仍然可以为普通用户获取上述消息!Microsoft的任何人都有关于AADSTS90094错误代码的一些信息？

Answer 1

好的，所以我最终联系了 Microsoft 支持人员，因为截至目前，还没有有关此错误消息的信息。

简而言之，微软最近在权限方面做了一些改变。过去，如果您的应用程序需要任何openid、profile或offline_access，您只需将它们作为范围放置在您的应用程序中，它们在https://apps.dev.microsoft.com. 管理员会给予同意，您的应用程序将正常运行。

您现在应该做的是将您的应用程序的范围与您拥有的权限进行镜像https://apps.dev.microsoft.com，否则您将继续收到该错误消息，因此请确保现在双方都有相同的内容，特别是如果您习惯了旧的行为。

现在可以在开发门户上为您的应用程序选择这三个范围/权限（openid、profile和）。offline_access