权限被拒绝：“”未经授权：Azure AD答案

【问题标题】：Permission Denied: "" is unauthorized: Azure AD权限被拒绝：“”未经授权：Azure AD
【发布时间】：2020-08-19 18:25:45
【问题描述】：

我正在尝试使用 Azure Active Directory 实现 oauth2 代理。 oauth2 代理似乎能够与 Azure AD 应用程序通信，甚至它对组织中的大多数用户进行身份验证，但对于少数用户，我们无法对用户进行身份验证。

Oauth2_proxy 日志说明如下：（在内部验证后，请求会通过此端点获取用户的详细信息：https://graph.windows.net/me?api-version=1.6，但对于少数用户而言，响应如下所示：

{"odata.error":{"code":"Authorization_RequestDenied","message":{"lang":"en","value":"权限不足，无法完成操作。"},"requestId" :"{reqID}","date":"2020-08-18T15:18:33"}}

错误：

权限被拒绝：“”未经授权
ErrorPage 403 Permission Denied Invalid Account

任何输入都会有所帮助！

附言。尝试在 azure Active Directory 应用中选择所有权限，但没有成功。

【问题讨论】：

请提供更正ID和完整的错误信息
您授予了哪些权限？提供截图方便吗？转到 Azure 门户>应用注册>API 权限并截屏。
@CarlZhao，我们只面临组织中少数用户的问题，我真的觉得很奇怪，因为其他人能够登录。如果确实是权限问题，那么其他用户也不应该通过身份验证。可用权限：[Azure Active Directory Graph -> User.Read.All, Group.Read.All, Directory.Read.All, Application.ReadWrite.All,] [Microsoft Graph -> User.Read.All, Group.Read .All, Directory.Read.All, Application.ReadWrite.All]（适用于应用程序和委托类型）。 [大部分用户只能使用这个权限登录：Microsoft Graph->User.Read]
您是否尝试过使用 Microsoft Graph 来获取有关已登录用户的信息？ https://graph.microsoft.com/v1.0/me
您是否已授予 AAD Graph 权限管理员同意？

标签： oauth-2.0 azure-active-directory microsoft-graph-api

【解决方案1】：

您需要以管理员身份登录 Azure 门户，然后找到 应用注册> 选择您的应用> API权限，然后授予管理员对您添加的 Graph 权限的同意。

顺便说一句，从 2020 年 6 月 30 日开始，微软将正式不再向 Azure AD Graph API 添加任何新功能。建议您升级应用程序以使用 Microsoft Graph API 而不是 Azure AD Graph API 来访问 Azure Active Directory 资源。

【讨论】：

感谢@Carl Zhao，启用“Grant admin consent for app”后，所有用户都将通过身份验证。