批准 AAD 租户中的单个应用以防止 AADSTS90093 错误

Question

我有一个AAD 2.0聚合应用程序（通过https://apps.dev.microsoft.com创建），它只要求委派权限，不需要管理员同意。

它已在许多具有默认设置的AAD实例上成功安装并运行，但如果管理员已禁用允许用户同意应用程序，则无法安装。

使用当前的授权流，管理员可以很好地安装它(为他们自己，而不是整个租户),普通用户参见

这个错误是有道理的，我能想到的绕过这个问题的两种方法是：

1. 让租户管理员更改设置以允许用户同意所有应用程序
2. 在OAuth流中请求管理员同意，以便管理员可以批准所有常规用户的作用域

我希望有另一个解决方案，有问题的租户的管理员可以有选择地允许用户安装这个特定的应用程序，没有此限制的所有其他租户上的普通用户仍然可以在没有管理员同意的情况下安装应用程序。

然而，环顾Azure Active Directory门户，我找不到这样做的方法。任何关于如何处理这种情况的帮助将不胜感激。

Answer 1

根据我的理解，如果管理员禁用用户同意允许第三方多租户应用程序访问他们在目录中的用户配置文件数据，管理员必须同意这些应用程序，用户才可以使用它们。

在这种情况下，您的应用程序可以要求用户提供其租户的管理员的电子邮件，并将管理员同意链接发送给管理员。

我希望有另一种解决方案，在该解决方案中，相关租户的管理员可以选择性地允许用户安装此特定应用程序

此功能类似于为该应用提供admin_consent。如果你对 Azure AD 有任何想法或反馈，可以从此处提交。

Answer 2

为了实现这一目标：

我希望有另一种解决方案，在该解决方案中，相关租户的管理员可以选择性地允许用户安装此特定应用程序

您需要发送管理员特制的 URL 以获得管理员同意。从“Azure AD v2 范围”文档：

https://login.microsoftonline.com/common/adminconsent?client_id=<YOUR_CLIENT_ID>&state=12345&redirect_uri=<YOUR_REDIRECT_URI>

管理员完成此操作后，将为租户中的所有用户授予同意。

即使您没有请求任何管理权限，这也是适用的。在用户委托权限的情况下，这将:

• 在启用用户同意的租户中，防止提示每个用户同意，并让他们使用应用程序。
• 在禁用用户同意的租户中，用户将不再阻止用户并让他们使用应用程序。