Azure AD - 用户可以同意应用程序代表他们访问公司数据选项为 false

Question

我有一个注册为 V2/融合应用程序的多租户应用程序，但它没有配置为任何需要管理员同意的委派权限。我意识到如果 AD 租户管理员将 Users can consent to applications accessing company data on their behalf option 设置为 false，那么无论配置的权限如何，我的应用程序都需要管理员同意，这种理解是否正确？

也将此设置为 false 与 V1 或 V2/Converged 应用程序模型有任何关系吗？根据another blog，这似乎是 V2 特有的。

Answer 1

您对该开关的工作原理的理解是正确的。当开关设置为 No 时，只有 certain directory roles 中的用户可以同意该租户中的应用程序。来自the documentation：

租户管理员可以禁用普通用户同意应用程序的功能。如果禁用此功能，则始终需要管理员同意才能在租户中使用该应用程序。

这不限于 v2 端点。这个开关在 v2 端点存在之前就已经存在，并且会影响所有尚未被授予权限的应用程序。

没有“v1 应用”注册或“v2 应用”注册的概念，只有一个 v1 端点和一个 v2 端点。应用可以使用任一端点。