如何使用其他租户的 Azure AD 应用程序？

Question

我正在开发一个本机应用程序，它必须显示用户所属的 Office 365 组。为此，我调用需要身份验证的 Microsoft Graph API。我正在使用 ADAL 库。

所需权限需要管理员同意。 对于我的租户的用户来说一切正常，但是当我尝试使用另一个租户的帐户进行身份验证时，它不起作用。它不断给出这个结果：

相关 ID：9780ed24-9d24-4604-b8bf-28a02c2ea580

时间戳：2017-04-14 12:05:45Z

AADSTS70001：在目录 XXXXXXX.onmicrosoft.com 中找不到标识符为“xxxxxxxx-xxx-xxx-xxxx-xxxxxxxxxxxx”的应用程序

即使我在第一次连接时使用管理员帐户。我从未征求过我的同意，并且该应用程序未在其他租户上注册。

---

该应用程序已注册为本机，因此它应该是多租户的，并且我将“/common”传递为权限中的租户。

我还尝试在其他租户上注册具有相同规格的应用程序，并获得管理员同意的权限，并且效果也很好。

以下是我检索访问令牌的方法：

private static string GetAccessToken()
    {
        AuthenticationContext authContext = new AuthenticationContext(authority);

        AuthenticationResult authResult = authContext.AcquireToken(graphResource, clientID, redirectURI, PromptBehavior.RefreshSession);
        var accessToken = authResult.AccessToken;
        return accessToken;
    }

是代码中的问题吗？参数？其他租户是否需要一些我不知道的“特殊天蓝色订阅”？

简而言之：我如何让它为其他租户工作？

编辑：我尝试手动将“prompt=admin_consent”添加到请求中，如下所示：

AuthenticationResult authResult = authContext.AcquireToken(graphResource, clientID, redirectURI,PromptBehavior.RefreshSession, UserIdentifier.Any, "prompt=admin_consent");

但是它触发了一个错误，说“extraQueryParameters 中存在重复的查询参数‘提示’”

Answer 1

这是注册本机客户端应用程序时新 Azure 门户中的一个已知问题。

这些目前（截至 2017 年 4 月 14 日）被创建为单租户应用程序。由于 Azure 门户不会公开本机客户端应用程序的“多租户”切换，因此您需要更新应用程序清单或使用 Azure AD PowerShell 来执行此操作。

从清单创建应用程序多租户

1. 在 Azure 门户中，从本机客户端应用程序的设置边栏选项卡中，单击 Manifest 选项。

   

2. 将

   availableToOtherTenants

   值更新为

   true

   。

   

3. 保存清单。

   

使用 Azure AD PowerShell 使应用程序成为多租户

1. 下载 Azure AD PowerShell v2 模块 (AzureAD)：https://learn.microsoft.com/en-us/powershell/azure/install-adv2?view=azureadps-2.0

2. 运行以下命令：

   $appId = "<app ID>"
   $app = Get-AzureADApplication -Filter "appId eq '$appId'"
   Set-AzureADApplicatoin -ObjectId $app.ObjectId -AvailableToOtherTenants $true
   

这应该修补它。稍等一下，然后重试。