为什么用户在添加到用户列表后需要在 Azure 单一登录中请求管理员批准？

Question

我在 Azure 门户中创建了一个 SSO 应用程序。作为全局管理员，我使用 sso 签署了我的应用程序，我能够获取访问令牌和图形详细信息。

在我们的组织中，我们需要允许少数用户使用此应用程序。所以我将他们的电子邮件添加到 Azure 门户中的 'Users and Groups'。因此，当用户登录时，他们允许同意权限，然后出现下面的 window。我可以知道原因吗？

• 这是正常现象还是其他方面的错误？
• 这个window是否每次用户获得批准后都会出现？

请帮助我解决这个问题，因为我正在经历一段艰难的时期。

Answer 1

1. 这不是错误，而是管理员同意。你作为一个全球 管理员需要批准 azure AD 的关注。
2. 这个window只会出现一次，下次用户log-in同意后不会出现一次。

请查看Ms Document，其中包含配置管理员许可的信息。

Answer 2

您似乎正在尝试使用应用程序权限，因为两个显示的权限都不需要管理员同意委派权限方案。

您可以在 https://docs.microsoft.com/en-us/azure/active-directory/develop/v2-permissions-and-consent#permission-types

阅读有关权限类型的信息

如果您想查看应用程序的配置，可以求助于 Azure AD。在页面 https://portal.azure.com/#blade/Microsoft_AAD_RegisteredApps/ApplicationMenuBlade/CallAnAPI/appId/YOURAPPID/isMSAApp/（将 YOURAPPID 替换为您的应用程序 ID）上，您应该会看到类似于此的内容：

如果您在 (1) 有任何类型的“应用程序”，这些将需要管理员同意。

无论您是否拥有此类权限，您（需要管理员权限）都可以使用 (2) 处的按钮为租户授予申请许可。