在Azure Azure Active Directory应用程序中“授予管理员同意”按钮有什么作用？

Question

我们已经配置了天蓝色的活动目录应用程序，以便我们网站的用户可以通过其Microsoft帐户登录。问题是，如果我们不grant admin access，则登录该应用程序将失败，并显示错误代码AADSTS650056：

配置错误的应用程序。这可能是由于以下原因之一：客户端尚未在客户端的应用程序注册中请求的权限中列出“ AAD Graph”的任何权限。

我们对点击“授予管理员同意表示怀疑，担心它可能会暴露任何漏洞。这是正确的进行方式吗？如果不是，那么有什么替代方法可以绕过这种同意？

Answer 1

每个应用程序都会注册所需的权限。某些权限可以由用户授予，而其他权限则只能由管理员授予。

假设您只有用户可以同意的权限。首次使用该应用程序时，将提示他们（每个用户）同意这些对应用程序的权限。如果在同一情况下单击“授予管理员同意”，则等同于对租户上的所有用户接受该同意。

现在让我们假设应用程序注册了需要管理员同意的权限，如果您希望应用程序正常工作并能够请求令牌，则别无选择，只能单击该按钮。

这些需要管理员同意的权限是允许访问组织中更多或敏感数据的权限。