Azure AD 企业应用程序 用户同意公司数据

Question

对于 Azure AD“企业应用程序”，是否可以仅为应用程序设置“用户可以同意应用程序代表他们访问公司数据”，还是必须为租户中的所有应用程序设置？

我不是租户的管理员，但我是租户的注册用户。

该应用程序是现有应用程序，并且已在开发者的租户中注册为多租户应用程序。我正试图让它在我的租户中工作。

此应用程序需要以下范围：

• files.readwrite
• files.readwrite.all
• offline_access

我让我的租户的管理员通过以下方式在我的租户中为此应用创建“服务主体”：

1. https://login.microsoftonline.com/common/adminconsent?client_id22c49a0d-d21c-4792-aed1-8f163c982546&redirect_uri=http://localhost
2. 以我的租户的管理员身份登录

如何仅为 Azure AD 管理中心中的应用设置“用户可以同意应用代表他们访问公司数据”？

还有一个网站可以显示“Azure AD Admin Center”中的所有屏幕吗？

Answer 1

首先，开发者应注意Microsoft Graph Permissions 并了解委托 和应用程序 权限之间的区别。因为有本质区别。多租户应用程序的开发人员还应该了解如何生成admin consent url 以请求管理员对其应用程序的同意。

其次，如果 Azure AD 全局管理员已将 User can consent to apps accessing company data on their behalf 选项配置为 false，则只有全局管理员可以同意此应用程序。此选项是租户范围的，不能在每个应用程序的基础上进行控制。唯一的方法是与租户管理员交谈，向他解释这个应用程序在做什么以及为什么需要它。只有租户管理员才能同意使用此应用程序。

至于Azure AD Admin Center的屏幕——没有这样的网站。

更新

选项Users can consent to application accessing company information on their behalf位于：

• https://aad.portal.azure.com
• 企业应用程序
• 设置

虽然这会起作用，但它也适用于未来的任何应用程序。启用此功能有一些目的。审查最初的目的可能更有意义，如果仍然有效，则不要更改此值。如果您希望按原样保留设置的值，您可以与应用程序的开发人员联系，为您提供一个admin consent URL。然后，您只需将该 URL 提供给您的全局管理员，他必须打开它、签名并同意。因此，您的所有用户都将能够使用该应用程序，同时仍将 Users can consent to applications accessing company data on their behalf 保持为 false。