删除用户时失去对应用程序的访问权限答案

【问题标题】：Lost access to application when user was deleted删除用户时失去对应用程序的访问权限
【发布时间】：2020-06-28 23:03:47
【问题描述】：

我们在 Azure AD 中删除了一个“未使用”的用户。删除 MS 帐户并将其从 AD 中删除。现在，在 60 天删除过程（MS 帐户）的几天后，我们意识到他可能是我们现在在任何地方都找不到的 AD 应用程序的创建者。我猜这是一个“私人”应用程序？但不知何故还在AD？不太清楚。

我们重新打开了 MS 帐户并在 AD 中再次创建了用户（作为全局管理员），但找不到该应用程序。如果我们尝试通过现有的直接链接访问应用程序，我们会看到一个 403 No Access 页面，并在通知中心显示错误通知，提示存在权限问题，但用户再次是全局管理员：

获取令牌的调用的其他信息：扩展： Microsoft_AAD_IAM 资源：identity.diagnostics 详细信息：AADSTS50020：来自身份提供者“live.com”的用户帐户“{EmailHidden}”确实如此租户“默认目录”中不存在且无法访问该租户中的应用程序'xxxxxxxxxxxxxxx'(ADIBizaUX)。账户需要先在租户中添加为外部用户。登出并使用不同的 Azure Active Directory 用户再次登录帐户。跟踪 ID：xxxxxxxx 相关性 xxxxxx 时间戳：2020-06-25 14:44:18Z

我们还尝试使用多个其他全局管理员登录，但没有人可以访问该页面或使用其拥有的 id 找到应用程序。使用 Powershell 有什么可以做的吗？

实际上，我记得，它可能是在“应用程序注册”->“来自个人帐户的应用程序”下为该用户列出的应用程序。但是在删除并重新打开用户后，该选项卡不再可用:)

【问题讨论】：

标签： azure azure-active-directory

【解决方案1】：

根据 Azure 门户应用注册中所做的新更改

在新体验中，如果你的个人 Microsoft 帐户也在一个 Azure AD 租户，您将看到三个选项卡——所有应用程序都在租户、租户中拥有的应用程序以及来自租户的应用程序您的个人帐户。因此，如果您认为应用程序注册于您的个人 Microsoft 帐户丢失，请检查应用程序从您的个人帐户标签中。

当您使用个人 Microsoft 帐户（例如 Outlook、Live、 Xbox 等）使用 Azure AD 电子邮件地址，我们发现当您从旧体验转到 Azure 门户，它会将您登录到 Azure AD 租户中具有相同电子邮件的不同帐户。如果你仍然认为您的应用程序丢失，退出并登录正确的帐户。

新应用列表显示通过 Azure 门户中的旧应用注册体验（应用仅登录 Azure AD 帐户）以及通过应用程序注册门户（同时登录 Azure AD 和个人 Microsoft 帐户）。

如果您知道可以使用Powershell 恢复的应用程序 ID

错误是由于使用了 v1 端点 url。您需要使用 V2 端点才能允许从个人 microsoft 帐户进行访问。

使用此端点：https://login.microsoftonline.com/common/oauth2/v2.0/authorize

请通过document

【讨论】：

谢谢。在我删除拥有该应用程序的电子邮件帐户的 MS 用户和 AD 用户之前，该应用程序所在的个人应用程序区域。重新打开 MS 用户或创建具有相同的新 AD 用户时，该区域没有回来电子邮件。该应用程序实际上并没有被“删除”，因为它仍然存在并用于 OAuth2 - 我们无法在任何地方找到它来访问它:) 但是我们当然有 id。

【解决方案2】：

我没有意识到可以恢复已删除的 Azure AD 用户（30 天）。在我恢复已删除的 AD 用户而不是再次创建用户后，该应用再次出现在用户的“应用注册”下的“来自个人帐户的应用”中。

我仍然很想将应用程序移到 Azure AD 中，但从较早的 SO 问题中，我被告知这是不可能的。我想我们要么保留这个旧帐户，要么重新创建应用程序（并让我们所有的用户重新授权）。

【讨论】：