Microsoft Graph API - AADSTS90094: Dotacja wymaga uprawnień administratora

Question

Mam utworzoną aplikację w https://apps.dev.microsoft.com (platformy: Web)

Ta aplikacja wymaga zgody administratora dla niektórych uprawnień. Pamiętam, w przeszłości, dostęp do https://login.microsoftonline.com/{tenant name}/adminconsent?client_id={application id}&state={some state data}&redirect_uri={redirect uri} z kontem administratora, aby dać uprawnienia dostępu do zasobów w naszej organizacji, które może udzielić tylko administrator. Stamtąd użytkownicy musieli wyrazić zgodę na poziomie użytkownika, aby móc korzystać z aplikacji.

Teraz mogę z powodzeniem zalogować się przy użyciu konta administratora, a aplikacja działa zgodnie z oczekiwaniami, ale wciąż uzyskać monit, dla użytkowników, z następującym komunikatem:

You can't access this application APP NAME needs permission to access resources in your organization that only an admin can grant. Please ask an admin to grant permission to this app before you can use it.

Have an admin account? Sign in with that account

Return to the application without granting consent

komunikat o błędzie jest: AADSTS90094: The grant requires admin permission. które nie wydają się być udokumentowane gdziekolwiek ..

Jeśli kliknę na Have an admin account? Sign in with that account i zaloguję się na konto administratora, to działa, ale próbuję ponownie, używając zwykłego konta użytkownika, otrzymam powyższy komunikat ponownie.

EDIT: więc pozbawiony uprawnienia do minimum. celownicze w mojej aplikacji są teraz: openid, profile, user.read i Microsoft Graph Uprawnienia są teraz na delegowanych uprawnień: Mail.Send, User.Read. Nic w Uprawnienia aplikacji i NADALĘ otrzymuję powyższą wiadomość dla zwykłych użytkowników! Ktoś z Microsoft ma jakieś informacje na temat kodu błędu AADSTS90094?

Answer 1

OK, więc skontaktowałem się z pomocą techniczną firmy Microsoft, ponieważ od tej daty nie ma informacji o tym komunikacie o błędzie.

Krótko mówiąc, Microsoft wprowadził kilka ostatnich zmian dotyczących uprawnień. W przeszłości, jeśli Twoja aplikacja wymagała jednego z openid, lub offline_access, możesz po prostu umieścić je w swojej aplikacji jako zakresy, nie były one dostępne pod numerem https://apps.dev.microsoft.com. Administrator wyraziłby zgodę, a Twoja aplikacja działałaby prawidłowo.

Co należy teraz zrobić, to lustro zakresy Twojej aplikacji z uprawnieniami masz na https://apps.dev.microsoft.com albo będziesz utrzymać się, że komunikat o błędzie, więc upewnij się, że masz samo obustronnie teraz, zwłaszcza jeśli jesteś przyzwyczajony do starego zachowania.

Tych trzech zakresach/uprawnienia (openid, profile i offline_access) może być teraz wybrany dla swojej aplikacji na portalu dev.

Answer 2

Punkt końcowy zgody administratora nie pomaga w przypadku zakresu dynamicznego i scenariusza zgody dynamicznej.

Użycie punktu końcowego zgody administratora spowoduje przyznanie uprawnień zarejestrowanych w portalu rejestracji aplikacji. Możesz znaleźć sekcję Uprawnienia do wykresów Microsoft, a następnie dodać uprawnienia wymagane przez aplikację. Po uzyskaniu zgody administratora przy użyciu punktu końcowego zgody administratora, aplikacja może zbierać uprawnienia dla wszystkich użytkowników najemcy, w tym zakresy ograniczone przez administratora.

Answer 3

Używam MSAL i punktu końcowego 2.0 (login.microsoft ...), rozwijam aplikację Multi-Tenant.

moja organizacja ma 2 Najemców

Jednym z nich jest w zasadzie nasza Dev instancji (i mam globalne uprawnienia administratora). Zarejestrowałem swoją aplikację w Tenant, że nie mam praw administratora i wykonałem Admin Zgoda dla tej aplikacji na Najemcy, gdzie sam mogę wykonać Zgoda. Moi użytkownicy mogą się logować z powodzeniem i mieć zgodę na zasoby, których potrzebują.

Jednak po utworzeniu rejestracji aplikacji (wszystkie aplikacje konwergentne na apps.dev.mic) z konta, na którym mam uprawnienia administratora globalnego, login dla moich użytkowników otrzymuje numer AADSTS90094 Error.

Jedynym sposobem Doszedłem do „rozwiązać” ten błąd jest

Na pierwszym logowaniu do aplikacji zakres byłby openid wówczas użytkownik wyraża zgodę na to, że po zakończeniu muszę zrobić kolejny zaloguj się z zakresem zdefiniowanym dla aplikacji i wszystko działa. Oczywiście, że UX jest co najmniej dziwaczny.