Azure AD的OAuth2-未获得用户同意

Question

我正在尝试为Azure AD正确执行OAuth2工作流。我遵循此来源的指示：https://msdn.microsoft.com/en-us/library/azure/dn645542.aspx

我可以通过使用以下请求成功获得授权码响应：https://login.microsoftonline.com/[app终结点id]/oauth2/authorize？response_type=代码

然后，我使用授权代码通过超文本传输协议帖子请求访问令牌，如下所示（我正在使用Postman进行测试）：

POST /[app-endpoint-id]/oauth2/token HTTP/1.1 Host: login.microsoftonline.com Cache-Control: no-cache Postman-Token: ed098281-9aa4-6e5f-915d-0253d9a876d3 Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code&client_id=[client-id]&code=[authorization_code]&redirect_uri=[redirect_uri]&client_secret=[client-secret]&resource=[app-url]

我从 POST 请求收到以下错误消息：

{“error”：“invalid_grant”，“error_description”：“AADSTS65001：用户或管理员不同意使用具有 ID ”app-id“的应用程序。发送此用户和资源的交互式授权请求。\r\n跟踪 ID： trace-di\r\n相关 ID： 相关 ID\r\n时间戳： 2016-01-13 17：18：39Z“，”error_codes“：[65001]，”timestamp“：”2016-01-13 17：18：39Z“，”trace_id“：”trace-id“，”correlation_id“：”correlation-id“}

如果我清除缓存并首次请求授权代码，我将被重定向以登录。但是，登录后我没有任何方法可以像本文档中所说的那样授权我的应用程序：

//azure.microsoft.com/en-us/documentation/articles/active-directory-integrating-applications/

我在这里做错了什么？我正在尝试获取访问令牌。




Answer 1

请确保 Azure AD 设置允许添加此类应用。Azure AD 应用程序下有几个属性

Answer 2

尝试将资源作为“https://graph.windows.net'。

对我很有效。

Answer 3

您遇到的问题是，您用于访问应用程序的租户尚未将您的应用程序添加到受支持的应用程序列表中。它告诉您以管理员身份使用交互式流。

同意是一个两步过程：

1）首先，租户的管理员必须批准应用。这可以1）在希望使用应用的租户的Azure门户中，或2）通过启动应用并在登录时对应用使用管理员凭据来完成。

Azure门户批准示例：

2） 其次，任何其他用户（非管理员）在管理员同意可以使用应用程序后，首次使用该应用程序时，将被提升为同意其个人信息。