Azure 新用户：您无权查看此目录或页面答案

【问题标题】：Azure new users: You do not have permission to view this directory or pageAzure 新用户：您无权查看此目录或页面
【发布时间】：2018-01-13 00:42:02
【问题描述】：

我在 Azure 中有一个 Web 应用程序。对该 Web 应用程序的访问由 Azure Active Directory 控制。该应用程序自去年 9 月开始运行。我有一段时间没有对应用程序进行任何更改，并且该应用程序中有 33 个用户。因此，一周前，我尝试使用之前使用的相同方法和路径添加用户。新用户可以登录到 microsoft (portal.office.com)。初始登录并更改密码后，用户转到 Azure 中的 Web 应用程序并收到以下错误：您无权查看此目录或页面。错误跟踪给了我这个：

HTTP 错误 401.73 - 未经授权您无权查看这个目录或页面。

最可能的原因：经过身份验证的用户无权访问处理请求所需的资源。

您可以尝试的事情：创建跟踪规则以跟踪失败的请求这个 HTTP 状态码。有关创建跟踪的更多信息失败请求的规则，请单击此处。

详细错误信息：模块 EasyAuthModule_32bit 通知 BeginRequest 处理程序
ExtensionlessUrlHandler-Integrated-4.0 错误代码 0x80004005 请求的 URL https://*******:80/.auth/login/aad/callback 物理路径 D:\home\site\wwwroot.auth\login\aad\callback 登录方法
尚未确定登录用户尚未确定

更多信息：这是由 IIS。通常，有一个与此错误相关的子状态代码这描述了服务器拒绝请求的原因。检查 IIS 日志文件以确定子状态代码是否与此相关联失败。查看更多信息 »

Microsoft 知识库文章：

另一个观察到的行为：通常当新用户登录 Web 应用程序时，会要求 AD 获得访问其帐户信息的权限。自从出现这个问题后，就不再是这样了。

其他用户在登录时没有任何问题。这个问题只发生在以前从未登录过的新用户身上。

编辑：当我转到 Active Directory 并查看登录信息时，我看到登录网络应用程序失败，登录错误代码为 90092。失败原因：其他。 Microsoft 帮助台无法向我提供有关该错误代码的详细信息。

【问题讨论】：

尝试让新用户在隐身/私人浏览器会话中打开应用程序并让我知道结果。此 401.73 是特定于 Azure EasyAuth 的
尝试以私人模式登录，但没有帮助。用了不同的浏览器，还是不行。
根据您的描述，我刚刚创建了一个新的 AAD 应用程序来检查此问题。登录时，可能会弹出同意窗口，我可以使用应用服务 AAD 身份验证成功访问我的 Web 应用程序。我建议您尝试为您的 AAD 应用授予权限以缩小此问题。您可以关注here的详细信息。

标签： azure-web-app-service azure-active-directory

【解决方案1】：

查看相关问答here。所有新用户都必须首先同意该应用程序（同意并授予您的应用程序访问其个人资料的权限/或您指定为必需的权限）。

简而言之，您必须为您的应用程序设计“注册”按钮，该按钮使用“login_url”并将“&prompt=consent”附加到查询字符串。

阅读all related resources here 以更好地了解同意框架。

请阅读有关Azure App Service Authentication/Authorization here 以及Azure AD specific documentation here 的文档。

【讨论】：

【解决方案2】：

天哪，我刚刚找到了答案。我创建了一个测试应用程序并将其设置为反映我的实时应用程序的设置。在必需的权限中，新应用程序对 Microsoft Graph 没有任何权限，实时应用程序有 5 个权限。我删除了 Microsoft Graph，它现在可以使用了！

我希望 Microsoft 就已停产的 API 进行更好的沟通。我确实收到了警报，但它主要是在谈论 MS Office 365。

【讨论】：